CVE-2026-10818highexplotación observadaCWE-434

CVE-2026-10818: fallo de gravedad alta en WPForms Pro

WPForms Pro <= 1.10.1.1 - Unauthenticated Arbitrary File Write via Chunked Upload Init/Finalize Ordering

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear WPForms Pro

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

78Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 8.1epss 2.5%
de la publicación al arma1 día
Publicada en NVD25 jul
1ª PoC+1d
VulnCheck+80d
The WPForms Pro plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.10.1.1 via the ajax_chunk_upload_finalize function. This is due to the file type validation occurring after chunk metadata and file contents have already been written to disk, and the assembled file not being deleted upon validation failure. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
WPForms · WPForms Pro
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — WPForms Pro

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-7063HIGHCVE-2023-7063EPSS 0.5%CVE-2023-30500MEDIUMWordPress WPForms plugins - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-18409HIGHWPForms Pro <= 2.0.0.2 - Unauthenticated Stored Cross-Site Scripting via Single Line Text and Paragraph Text Field ValuesEPSS 0.3%