Una vulnerabilidad crítica (CVSS 8.1) en el plugin ARForms para WordPress, en todas las versiones hasta la 7.2.4, permite a atacantes no autenticados subir archivos arbitrarios al servidor. El fallo reside en el manejador de carga de archivos del formulario, que toma el nombre del archivo desde un encabezado controlado por el atacante y no restringe adecuadamente los tipos de archivo seguros. Esto permite evadir las verificaciones del plugin y escribir archivos con código PHP ejecutable en un directorio de acceso público, lo que puede llevar a la ejecución remota de código. Para explotarla, el sitio debe tener un formulario público que contenga un campo de tipo "Archivo".
La vulnerabilidad, clasificada como CWE-434 (Carga de archivos sin restricción de tipo), está asociada a la técnica MITRE ATT&CK T1105 (Ingress Tool Transfer). Aunque su severidad es alta, su impacto real en internet podría ser limitado, ya que actualmente no hay hosts detectados públicamente como explotables.
| CVE | CVE-2026-111190 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.1 / 10 |
| CWE | CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.