CVE-2026-15983

WordPress üçün olan Super Forms – Drag & Drop Form Builder plagini 6.3.316 daxil olmaqla bütün versiyalarda ixtiyari fayl və ya kataloqun silinməsi zəifliyinə malikdir. Bu, `super_save_form` AJAX idarəedicisinin heç bir səlahiyyət yoxlaması aparmaması nəticəsində baş verir ki, bu da Abunəçi (Subscriber) səviyyəli autentifikasiya olunmuş istifadəçilərə Super Forms yaratmağa və ya dəyişdirməyə və `file_upload_submission_delete` tənzimləməsini aktivləşdirməyə imkan verir. Eyni zamanda, `super_submit_form` idarəedicisinin `submit_form` funksiyası `$_POST['data']`-dan gələn və hücum edən tərəfindən idarə olunan `files[].subdir` dəyərini təmizləmədən birbaşa `SUPER_Common::delete_dir()` funksiyasına ötürür. Bundan əlavə, `ABSPATH` mühafizəsi asanlıqla keçilə bilir; belə ki, `subdir` dəyəri kimi `wp-config.php` təyin edildikdə `dirname(realpath(ABSPATH . $subdir))` ifadəsi WordPress kök kataloquna yönəlir, lakin sadə `ABSPATH !== $dir` sətir yoxlaması sonundakı slash işarəsinin uyğunsuzluğu səbəbindən uğursuz olur. Bu, Abunəçi və daha yüksək səviyyəli girişə malik autentifikasiya olunmuş hücumçulara serverdəki ixtiyari faylları və kataloqları rekursiv şəkildə silməyə, hətta bütün WordPress quraşdırılmasını silməyə imkan verir. Nəticədə sayt tamamilə sıradan çıxa bilər və əgər `wp-config.php` kimi kritik fayllar silindikdən sonra sayt başqa bir tərəf tərəfindən yenidən quraşdırılarsa, uzaqdan kodun icrası mümkün ola bilər.