Udnyttet sårbarhed

CVE-2024-9417

TLP:CLEAR

hashthemes hash_form Ubegrænset upload af fil med farlig type

Hash Form – Drag & Drop Form Builder-pluginet til WordPress er sårbar over for begrænset filupload på grund af forkonfigureret filtype-validering i funktionen 'handleUpload' i alle versioner op til og inklusiv 1.1.9. Dette gør det muligt for uautoriserede angribere at uploade filer, som er udelukket fra både arrayerne 'allowedExtensions' og 'unallowed_extensions' på den berørte websteds server, inklusiv filer, der kan indeholde cross-site scripting.

Fakta

Leverandør: hashthemes
Produkt: hash_form
EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,4 %
Første kendte udnyttelse: 13. oktober 2026
Første gang set af Risk Letters: 13. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD