CVE-2026-109384 — Téléversement arbitraire de fichiers dans IvyForms

Veille sécuritéCMS & e-commerce

P3Élevée

IvyForms est vulnérable au téléversement arbitraire de fichiers jusqu’à la version 1.5.1 incluse, du fait d’une validation insuffisante des extensions et du contournement des contrôles natifs de WordPress. Un utilisateur authentifié disposant de la capacité add_edit_forms peut configurer un formulaire permettant des téléversements dangereux, ensuite déclenchables par des visiteurs non authentifiés; la fiche fournie ne précise pas de correctif.

IdentifiantCVE-2026-109384

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109384

Analyse technique

filterFiletypeAndExt ne comporte pas de liste de blocage adéquate et un filtre wp_check_filetype_and_ext remplace les protections MIME et extension de WordPress. L’exécution de code est possible si un fichier téléversé est exécutable.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-28T07:16:44.570Z, dans la période demandée; sa mise à jour du 2026-10-29T02:16:46.997Z est postérieure à la borne de fin et n’est pas retenue.

ImpactTéléversement de fichiers potentiellement exécutables, pouvant conduire à l’exécution de code.

Versions affectéesToutes les versions jusqu’à 1.5.1 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,73% · percentile 53,9%

Publication2026-10-28T07:16:44.570Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les formulaires configurés avec des champs de téléversement.

Sources

NVD — CVE-2026-109384

Priorisation DFS : P3 · 1 source(s).