ARForms : téléversement arbitraire de fichiers pouvant mener à l’exécution de code

Veille sécuritéCMS & e-commerce

P3Élevée

Le gestionnaire de téléversement de fichiers d’ARForms ne restreint pas suffisamment le nom et le type des fichiers ; un attaquant non authentifié peut ainsi déposer un fichier contenant du code PHP dans un répertoire public. Toutes les versions jusqu’à 7.2.4 sont concernées et un formulaire publié avec un champ de téléversement doit être accessible ; aucune version corrigée n’est indiquée dans les informations fournies.

IdentifiantCVE-2026-111190

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-111190

Analyse technique

Le nom du fichier provient d’un en-tête contrôlé par l’attaquant et les contrôles de type et de contenu peuvent être contournés ; une exécution de code à distance peut devenir possible.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-11-11T08:17:16.887Z, dans la période demandée ; sa mise à jour ultérieure n’est pas retenue comme événement.

ImpactUn attaquant non authentifié peut déposer un fichier exécutable dans un répertoire public, avec un risque d’exécution de code sur le serveur.

Versions affectéesARForms jusqu’à 7.2.4 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

EPSS0,56% · percentile 46,7%

Publication2026-11-11T08:17:16.887Z

Mise à jour2026-11-13T00:20:07.757Z

Action recommandée

Mettre à jour le plugin dès qu’un correctif est disponible et désactiver ou restreindre les formulaires publics comportant un champ de téléversement.

Sources

NVD — CVE-2026-111190

Priorisation DFS : P3 · 1 source(s).