CVE-2026-15983

WordPress için geliştirilen Super Forms – Drag & Drop Form Builder eklentisi, 6.3.316 sürümü dahil tüm önceki sürümlerde Keyfi Dosya/Dizin Silme zafiyetine sahiptir. Bu durum, `super_save_form` AJAX işleyicisinin herhangi bir yetenek kontrolü yapmaması nedeniyle Abone düzeyindeki kimliği doğrulanmış kullanıcıların Super Forms oluşturmasına veya düzenlemesine ve `file_upload_submission_delete` ayarını etkinleştirmesine izin vermesinden kaynaklanmaktadır; buna ek olarak `super_submit_form` işleyicisinin `submit_form` fonksiyonunun, `$_POST['data']` içerisindeki saldırgan tarafından kontrol edilen `files[].subdir` değerini temizleme işlemi yapmadan doğrudan `SUPER_Common::delete_dir()` fonksiyonuna iletmesi ve kolayca atlatılabilen bir `ABSPATH` korumasının bulunmasıyla ilişkilidir. `subdir` değeri olarak `wp-config.php` kullanıldığında, `dirname(realpath(ABSPATH . $subdir))` ifadesi WordPress kök dizinine çözümlenirken, basit `ABSPATH !== $dir` dize kontrolünün sondaki eğik çizgi uyumsuzluğu nedeniyle eşleşmemesi sonucu bu koruma etkisiz kalmaktadır. Bu durum, Abone düzeyi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sunucu üzerinde tüm WordPress kurulumu da dahil olmak üzere keyfi dosya ve dizinleri özyinelemeli olarak silmesini mümkün kılar; bu da sitenin tamamen kapanmasına ve `wp-config.php` gibi kritik dosyaların kaldırılıp sitenin daha sonra başka bir tarafça yeniden kurulması durumunda potansiyel uzaktan kod çalıştırmaya yol açabilir.