Уязвимость в weForms (CVE-2026-110253): неаутентифицированное удаление медиафайлов
В плагине weForms для WordPress (версии до 1.6.28 включительно) обнаружена уязвимость ограниченного удаления медиафайлов из-за недостаточной проверки путей. Атака не требует аутентификации, но срабатывает только после того, как администратор окончательно удалит специально подготовленную запись формы. Уровень опасности по CVSS — 5.4 (средний).
Подробности
Проблема затрагивает плагин weForms — Easy Drag & Drop Contact Form Builder For WordPress во всех версиях до 1.6.28 включительно. Причина — недостаточная проверка пути к файлу в функции weforms_delete_entry_attachments. Из-за этого неаутентифицированный атакующий может инициировать удаление произвольных медиафайлов на сервере. Ключевая особенность эксплуатации: удаление не происходит мгновенно. Злоумышленник сначала отправляет через форму специально подготовленную («отравленную») запись с нужным значением параметра wpuf_files, после чего ему требуется, чтобы администратор сайта окончательно удалил эту запись. Для владельца сайта это рутинное действие — модерация подозрительных заявок, похожих на спам, — и именно на неё рассчитывает атакующий, подталкивая администратора к удалению через социальную инженерию. Таким образом, для успешной атаки необходимы действия пользователя с правами администратора. Уязвимости присвоен базовый балл CVSS 5.4, что соответствует среднему уровню опасности. Потенциальные последствия — нарушение целостности и доступности контента: удаление изображений и других вложений, используемых на сайте, что может привести к искажению страниц, потере визуального контента и сбоям в работе сайта.Что делать
Основная рекомендация — обновить плагин weForms до версии, в которой устранена уязвимость (выше 1.6.28), как только такое обновление станет доступно от производителя. До установки патча целесообразно рассмотреть следующие меры: - ограничить возможность отправки записей через формы, если функционал временно не используется, или усилить мониторинг подозрительных заявок; - с осторожностью подходить к массовому удалению записей, похожих на спам: перед окончательным удалением проверять вложения и содержимое заявок; - настроить резервное копирование медиатеки и базы данных, чтобы иметь возможность восстановить удалённые файлы; - ограничить права администраторов и проводить регулярный аудит действий в панели управления WordPress; - отслеживать публикации производителя плагина и официальные бюллетени безопасности. Итог: CVE-2026-110253 — уязвимость среднего уровня, которая не позволяет атакующему действовать полностью автономно, но в связке с социальной инженерией создаёт риск потери медиаконтента сайта. Своевременное обновление плагина и аккуратная модерация форм снижают вероятность эксплуатации.Источник: CVE Project (cvelistV5)