В популярном плагине Ninja Forms для WordPress нашли критическую уязвимость с идентификатором CVE-2026-0740. Ошибка позволяет загружать файлы на сервер без авторизации, а значит, атакующему не нужен ни аккаунт, ни пароль.
Однако проблема не в самой загрузке, а в том, что вместе с загруженным файлом можно прислать исполняемый код и заставить сервер его выполнить. Плагин проверяет содержимое, но не контролирует расширение и почти не очищает имя файла. В результате файл сохраняется как PHP-скрипт в доступной директории и сразу становится точкой входа.
Дальше всё быстро: доступ к серверу, работа с базой, внедрение вредоносного кода. Главная проблема — масштаб и простота атаки. Пока сайты не обновились, автоматические сканеры будут находить такие точки входа без особых усилий.
Однако проблема не в самой загрузке, а в том, что вместе с загруженным файлом можно прислать исполняемый код и заставить сервер его выполнить. Плагин проверяет содержимое, но не контролирует расширение и почти не очищает имя файла. В результате файл сохраняется как PHP-скрипт в доступной директории и сразу становится точкой входа.
Дальше всё быстро: доступ к серверу, работа с базой, внедрение вредоносного кода. Главная проблема — масштаб и простота атаки. Пока сайты не обновились, автоматические сканеры будут находить такие точки входа без особых усилий.