JAKARTA — Celah keamanan kritis ditemukan di Forminator Forms, plugin WordPress dengan lebih dari 600.000 instalasi aktif, yang memungkinkan penyerang melakukan eksekusi kode berbahaya di situs-situs rentan.
Kerentanan ini dilacak sebagai CVE-2026-15748 dengan skor CVSS 9.8 dari 10.0 — tingkat keparahan tertinggi. Peneliti keamanan yang menggunakan alias “daroo” menemukan dan melaporkan celah ini kepada tim Wordfence.
Bagaimana Serangan Bisa Terjadi
“Kerentanan ini memungkinkan penyerang tanpa autentikasi mengunggah file apa saja, termasuk file PHP yang dapat dijalankan, ke situs yang rentan. Hasilnya adalah eksekusi kode jarak jauh dan kompromi total situs,” jelas Wordfence dalam laporan yang dirilis hari ini.
Namun ada syarat kunci: situs harus memiliki formulir yang berisi kedua field Upload File dan field Select. Tanpa kombinasi ini, serangan tidak bisa dilancarkan. Kerentanan mempengaruhi semua versi plugin sebelum dan termasuk 1.56.1, dan sudah diperbaiki di versi 1.56.2 yang dirilis 31 Juli 2026.
Flaw ini berasal dari fungsi “handle_file_upload()” yang memiliki validasi tipe file tidak memadai. Penyerang yang tidak terautentikasi bisa memanfaatkan celah ini dengan mengunggah file PHP khusus melalui formulir, lalu mendapat kontrol penuh atas situs.
Mekanisme Teknis dan Bypass Perlindungan
Wordfence menjelaskan lebih detail: “Ini terjadi karena validasi tipe file yang tidak cukup dalam handle_file_upload, di mana daftar ekstensi berbahaya melakukan pencocokan kunci yang persis, yang dapat dilewati dengan menggunakan kunci MIME type alternatif pipa, digabungkan dengan handler submission publik yang mempercayai konfigurasi field upload yang dikendalikan penyerang yang disuntikkan melalui nilai Select field yang dipalsukan.”
Secara default, file diunggah ke direktori yang dilindungi file .htaccess yang mencegah eksekusi PHP. Namun jika administrator situs mengonfigurasi Custom File Upload Storage root, perlindungan itu mungkin tidak ada. Hal ini karena file .htaccess dibuat “hanya saat dibutuhkan, selama permintaan frontend di mana helper WordPress yang bertanggung jawab menulis file .htaccess tidak dimuat.”
Akibatnya, sekadar meminta file yang diunggah sudah cukup untuk membuat server web menjalankan kode PHP yang dikontrol penyerang.
📝 Tinggalkan Komentar
Komentar sebagai . Ditinjau admin sebelum tampil.