Bezpečnostní firma Wordfence zaznamenala víc než čtyři sta čtyřicet tisíc pokusů o zneužití dvou kritických zranitelností umožňujících nahrání libovolného souboru v oblíbených pluginech Super Forms a Elementor Pro pro redakční systém WordPress.

Bezpečnostní společnost Wordfence zdokumentovala rozsáhlou vlnu útoků mířících na dva samostatné, ale svým principem podobné nedostatky ve widgetech pro vytváření formulářů, které používá velké množství webů postavených na redakčním systému WordPress. U pluginu Super Forms jde o zranitelnost CVE-2026-14894 s hodnocením CVSS 9,8, u rozšíření Elementor Pro pak o CVE-2026-32475 s hodnocením CVSS 9,0 až 9,8 podle konkrétní konfigurace.

V obou případech chybí na straně serveru dostatečná validace nahrávaného souboru. U Super Forms útočník odešle POST požadavek s payloadem v PHP kódu zakódovaným jako řetězec typu data:image/gif;base64, čímž obejde kontrolu typu souboru a spustí na serveru vlastní kód. U Elementor Pro útočník posílá pole pro nahrání souboru, jehož druhý prvek obsahuje škodlivý PHP kód; systém validaci obejde a soubor nahraje do adresáře /wp-content/uploads/elementor/forms/, odkud jej lze následně spustit. Zranitelné jsou verze Super Forms starší než 6.3.314 a verze Elementor Pro starší než 4.2.2.

Podle Wordfence firma zablokovala přes 250 000 pokusů o zneužití Super Forms a přes 190 000 pokusů u Elementor Pro, dohromady tedy víc než 440 000 útočných požadavků – číslo, které ukazuje, jak rychle a masově útočníci po zveřejnění podobných chyb automatizovaně skenují internet a zkoušejí je zneužít na všech dostupných webech. Oba pluginy přitom patří mezi nejrozšířenější doplňky pro tvorbu formulářů a stránek na WordPressu, takže potenciální okruh zranitelných webů je velmi široký.