CVE-2026-19860: fallo de gravedad media en JetFormBuilder — Dynamic Blocks Form Builder
JetFormBuilder 3.5.6.2 - 3.6.5.2 - Admin+ Arbitrary File Deletion via Server-Side Validation Callback
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
33Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 5.5epss 0.4%
The JetFormBuilder — Dynamic Blocks Form Builder WordPress plugin before 3.6.5.3 does not sufficiently restrict which PHP functions can be used as a custom field-validation callback, relying on a blocklist that omits a file-deletion function, allowing users able to manage forms to cause arbitrary files on the server to be deleted. The deletion itself is carried out when the form is submitted, which requires no authentication.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:L/A:L
Productos afectados
Unknown · JetFormBuilder — Dynamic Blocks Form BuilderPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/d73d8d27-6dad-4a7f-bf51-f5fc18ebc81f/no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — JetFormBuilder — Dynamic Blocks Form Builder
En el mismo producto, de las más peligrosas a las menos.