JAKARTA — Celah keamanan kritis ditemukan di Forminator Forms, plugin WordPress dengan lebih dari 600.000 instalasi aktif, yang memungkinkan penyerang melakukan eksekusi kode berbahaya di situs-situs rentan.
Kerentanan ini dilacak sebagai CVE-2026-15748 dengan skor CVSS 9.8 dari 10.0 — tingkat keparahan tertinggi. Peneliti keamanan yang menggunakan alias “daroo” menemukan dan melaporkan celah ini kepada tim Wordfence.
Bagaimana Serangan Bisa Terjadi
“Kerentanan ini memungkinkan penyerang tanpa autentikasi mengunggah file apa saja, termasuk file PHP yang dapat dijalankan, ke situs yang rentan. Hasilnya adalah eksekusi kode jarak jauh dan kompromi total situs,” jelas Wordfence dalam laporan yang dirilis hari ini.
Namun ada syarat kunci: situs harus memiliki formulir yang berisi kedua field Upload File dan field Select. Tanpa kombinasi ini, serangan tidak bisa dilancarkan. Kerentanan mempengaruhi semua versi plugin sebelum dan termasuk 1.56.1, dan sudah diperbaiki di versi 1.56.2 yang dirilis 31 Juli 2026.
Flaw ini berasal dari fungsi “handle_file_upload()” yang memiliki validasi tipe file tidak memadai. Penyerang yang tidak terautentikasi bisa memanfaatkan celah ini dengan mengunggah file PHP khusus melalui formulir, lalu mendapat kontrol penuh atas situs.
Mekanisme Teknis dan Bypass Perlindungan
Wordfence menjelaskan lebih detail: “Ini terjadi karena validasi tipe file yang tidak cukup dalam handle_file_upload, di mana daftar ekstensi berbahaya melakukan pencocokan kunci yang persis, yang dapat dilewati dengan menggunakan kunci MIME type alternatif pipa, digabungkan dengan handler submission publik yang mempercayai konfigurasi field upload yang dikendalikan penyerang yang disuntikkan melalui nilai Select field yang dipalsukan.”
Secara default, file diunggah ke direktori yang dilindungi file .htaccess yang mencegah eksekusi PHP. Namun jika administrator situs mengonfigurasi Custom File Upload Storage root, perlindungan itu mungkin tidak ada. Hal ini karena file .htaccess dibuat “hanya saat dibutuhkan, selama permintaan frontend di mana helper WordPress yang bertanggung jawab menulis file .htaccess tidak dimuat.”
Akibatnya, sekadar meminta file yang diunggah sudah cukup untuk membuat server web menjalankan kode PHP yang dikontrol penyerang.
Kerentanan Lain di User Profile Builder
Pengungkapan ini menyusul penjelasan Wordfence tentang celah authentikasi bypass kritis lainnya di User Profile Builder, plugin dengan lebih dari 40.000 instalasi aktif WordPress, yang memungkinkan penyerang tanpa autentikasi masuk sebagai pengguna dengan ID 1 (biasanya administrator situs) dan mengambil alih situs.
Kerentanan CVE-2026-15826 (skor CVSS: 9.8) ini sudah diperbaiki pada 16 Juli 2026 dengan rilis versi 3.16.5. Semua versi sebelumnya terpengaruh, tapi hanya bisa dieksploitasi di situs di mana pengaturan “Automatically Log In” plugin diaktifkan.
Mekanisme bug ini mencakup fungsi “wppb_log_in_user()” yang memanggil absint() pada nilai kembali wp_insert_user() sebelum melakukan is_wp_error() check.
Saat registrasi diajukan dengan nama pengguna 61–70 karakter, WordPress core menolaknya dengan objek WP_Error, namun absint() mengubah objek itu menjadi integer 1 sebelum error check bisa menghentikan eksekusi, menyebabkan plugin mengikat dan mengembalikan autologin nonce yang didukung transient terikat ke user ID 1.
“Ini memungkinkan penyerang tanpa autentikasi masuk sebagai akun Administrator situs (user ID 1), menghasilkan pengambilalihan administratif penuh atas situs,” kata Wordfence.
Peringatan Pemilik Situs
Pemilik situs yang menggunakan salah satu dari dua plugin ini disarankan menerapkan update sesegera mungkin dan memastikan instalasi mereka tetap terbaru. Dengan risiko eksekusi kode jarak jauh dan pengambilalihan administratif, penundaan pembaruan bisa berakibat fatal bagi keamanan data dan operasional situs.
📝 Tinggalkan Komentar
Komentar sebagai . Ditinjau admin sebelum tampil.