Forminator WordPress Flaw Can Enable Unauthenticated RCE via Malicious PHP Uploads

Kerentanan Lain di User Profile Builder

Pengungkapan ini menyusul penjelasan Wordfence tentang celah authentikasi bypass kritis lainnya di User Profile Builder, plugin dengan lebih dari 40.000 instalasi aktif WordPress, yang memungkinkan penyerang tanpa autentikasi masuk sebagai pengguna dengan ID 1 (biasanya administrator situs) dan mengambil alih situs.

Kerentanan CVE-2026-15826 (skor CVSS: 9.8) ini sudah diperbaiki pada 16 Juli 2026 dengan rilis versi 3.16.5. Semua versi sebelumnya terpengaruh, tapi hanya bisa dieksploitasi di situs di mana pengaturan “Automatically Log In” plugin diaktifkan.

Mekanisme bug ini mencakup fungsi “wppb_log_in_user()” yang memanggil absint() pada nilai kembali wp_insert_user() sebelum melakukan is_wp_error() check.

Saat registrasi diajukan dengan nama pengguna 61–70 karakter, WordPress core menolaknya dengan objek WP_Error, namun absint() mengubah objek itu menjadi integer 1 sebelum error check bisa menghentikan eksekusi, menyebabkan plugin mengikat dan mengembalikan autologin nonce yang didukung transient terikat ke user ID 1.

“Ini memungkinkan penyerang tanpa autentikasi masuk sebagai akun Administrator situs (user ID 1), menghasilkan pengambilalihan administratif penuh atas situs,” kata Wordfence.

Peringatan Pemilik Situs

Pemilik situs yang menggunakan salah satu dari dua plugin ini disarankan menerapkan update sesegera mungkin dan memastikan instalasi mereka tetap terbaru. Dengan risiko eksekusi kode jarak jauh dan pengambilalihan administratif, penundaan pembaruan bisa berakibat fatal bagi keamanan data dan operasional situs.