Lỗ hổng Forminator WordPress có thể dẫn tới thực thi mã từ xa
"A critical vulnerability in the Forminator Forms WordPress plugin (CVE-2026-15748, CVSS 9.8) allows unauthenticated attackers to upload arbitrary files, including PHP, which can lead to remote code execution and full site compromise. The issue affects versions up to 1.56.1 and was fixed in 1.56.2; exploitation requires a form with both a File Upload field and a Select field, and may be more dangerous on sites using custom upload storage without .htaccess protection."
Ảnh hưởng đến tính toàn vẹn máy chủ, có thể dẫn tới RCE và chiếm quyền website nếu bị khai thác thành công.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và phát sinh chi phí xử lý sự cố, đặc biệt với các website công khai dùng Forminator Forms.
Một lỗ hổng nghiêm trọng trong plugin Forminator Forms của WordPress đã được công bố, ảnh hưởng đến các phiên bản đến 1.56.1 và đã được khắc phục trong 1.56.2. Lỗi này được gán mã CVE-2026-15748 với mức CVSS 9.8. Theo mô tả kỹ thuật, kẻ tấn công không cần xác thực có thể lợi dụng cơ chế tải tệp để đưa lên các tệp tùy ý, bao gồm cả PHP, từ đó dẫn đến thực thi mã từ xa và có thể chiếm quyền điều khiển website.
Điều kiện khai thác là biểu mẫu phải có đồng thời File Upload field và Select field. Rủi ro có thể cao hơn trên các site dùng Custom File Upload Storage vì thư mục lưu trữ tùy biến có thể không được bảo vệ bằng .htaccess như cấu hình mặc định. Khi đó, chỉ cần truy cập tệp đã tải lên cũng có thể kích hoạt mã PHP trên máy chủ.
Quản trị viên nên nâng cấp lên 1.56.2 ngay lập tức, rà soát các biểu mẫu có trường tải tệp, kiểm tra thư mục upload và xác nhận rằng PHP execution bị chặn tại các vị trí lưu trữ công khai. Đồng thời, cần theo dõi nhật ký truy cập và tải lên để phát hiện dấu hiệu khai thác sớm.