Tím Wordfence upozornil na závažnú zraniteľnosť vo WordPress plugine Forminator

Bezpečnostný tím Wordfence upozornil na závažnú zraniteľnosť vo WordPress plugine Forminator, ktorá ohrozuje viac ako 600 000 webov.

3. júla 2025

Útočníci môžu bez autentifikácie zadať cestu k ľubovoľnému súboru do formulára a tento súbor bude zmazaný pri odstránení formulárového záznamu. To môže viesť k vymazaniu kľúčových súborov, ako je wp-config.php, čo umožňuje vzdialené spustenie kódu a potenciálne prevzatie webu.

Zraniteľnosť bola objavená 20. júna 2025 a bola zaradená pod identifikátor **CVE-2025-6463** s hodnotením závažnosti **8.8 (vysoké)**. Útočníci môžu zneužiť nedostatočnú validáciu ciest súborov vo funkcii **entry_delete_upload_files()**, ktorá je zodpovedná za mazanie nahraných súborov pri odstránení formulárového záznamu. Funkcia nevykonáva kontrolu typu poľa, prípony súboru ani obmedzenia na adresár nahrávania, čo umožňuje útočníkom špecifikovať ľubovoľné súbory na serveri, vrátane wp-config.php.

Zraniteľnosť bola zodpovedne nahlásená výskumníkom Phatom RiO – BlueRock, ktorý za tento objav obdržal odmenu vo výške **8 100 USD**, čo je doteraz najvyššia odmena vyplatená prostredníctvom programu Bug Bounty spoločnosti Wordfence.

Vývojári pluginu Forminator reagovali svižne a vydali opravenú verziu **1.44.3** dňa 30. júna 2025. Používateľom sa odporúča čo najskôr aktualizovať na túto verziu, aby ochránili svoje weby pred potenciálnym zneužitím.

Pre viac informácií a technickú analýzu navštívte pôvodný článok na blogu Wordfence: 600,000 WordPress Sites Affected by Arbitrary File Deletion Vulnerability in Forminator WordPress Plugin