CVE-2026-0740: stato di sfruttamento e disponibilità della patch

CVE-2026-0740 · CVSS 9.8 CRITICAL · EPSS 58%

The Ninja Forms - File Uploads plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the 'NF_FU_AJAX_Controllers_Uploads::handle_upload' function in all versions up to, and including, 3.3.26. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible. Note: The vulnerability was partially patched in version 3.3.25 and fully patched in version 3.3.27.

CVE-2026-0740 viene sfruttato?

• Non è nel catalogo CISA KEV.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 58%.
• Codice di exploit pubblico: proof of concept.
• Esistono regole di detection pubbliche.

Quali prodotti e versioni sono interessati?

Nessun elenco di pacchetti interessati registrato qui.

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2026-0740

• Immediate Remote Code Execution Risk in Ninja Forms File Uploads (2026-05-02)

Fonti primarie

• NVD record
• Exploit-DB 52560
• Nuclei template

Cosa questa scheda non dice

• Nessun dato sui pacchetti interessati.
• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-08-11.