Il componente aggiuntivo premium Ninja Forms File Uploads espone circa 90.000 siti WordPress a un'immediata esecuzione remota di codice tramite upload PHP non autenticati. Non si tratta di una tipica vulnerabilità di upload file in cui gli attaccanti si limitano a memorizzare file dannosi; gli attaccanti possono eseguire codice sul server non appena caricano un file appositamente creato. Le risposte standard di patching non considerano che l'attaccante potrebbe già avere il controllo persistente sull'intero sito, non solo sul plugin.
Part of the PlainSec briefing for 2026-05-02