Forminator Forms: критическая уязвимость в загрузке файлов

Прочитал в рассылке Wordfence, что у плагина Forminator Forms для WordPress нашли критическую уязвимость — возможность загрузки произвольных файлов без авторизации. Она затрагивает версии до 1.56.1, включая те, что используются на более чем 600 тысячах сайтов. Уязвимость позволяет загружать исполняемые PHP-файлы через форму с полем загрузки файла и отдельным полем выбора, если в настройках формы злоумышленник подменит тип поля. Это даёт полный контроль над сайтом. Плагин уже обновлён до 1.56.2, а Wordfence защитил всех пользователей через файрвол.

Считаю, что это не просто «ещё одна уязвимость» — это серьёзный риск для любого сайта с формой загрузки. Даже если у вас нет веб-форм, но вы используете этот плагин, вы под угрозой. Критическая оценка CVSS 9.8 — это почти максимум. И если у вас стоит старая версия, сайт уже может быть заражён, даже если вы не видите признаков.

На мой взгляд, главная опасность — в том, что уязвимость не требует аутентификации. Это значит, что боты могут сканировать тысячи сайтов за час и заражать их автоматически. Пока вы не обновите, сайт остаётся открытой дверью.

Я уже проверил у всех клиентов, кто использует Forminator. У тех, у кого версия ниже 1.56.2 — поставил в план на сегодняшний вечер. Уже начал обновлять. У тех, кто на поддержке — обновление сделано автоматически. У кого не поддержка — напоминаю в личке. Пока смотрю, не тороплюсь, но проверяю всех.