Résumé
Le 18 août 2026, une faille critique a été découverte dans le plugin Forminator Forms (utilisé pour créer des formulaires sur WordPress). Elle permet à des attaquants non authentifiés d’uploader des fichiers dangereux (comme des scripts malveillants) via une faille dans la validation des types de fichiers. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées, et un code d’exploitation public est disponible, facilitant son utilisation par des cybercriminels.
Solutions
Mettez à jour immédiatement votre version du plugin vers la dernière version corrigée (disponible sur le site officiel du développeur).
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.8/10
EPSS : 6.14%
Référencée comme KEV : Oui
Code d exploitation disponible : Oui
Date d’ajout au KEV : 15/10/2026
Date de détection de l’exploit : 21/08/2026
Systèmes affectés
Forminator Forms – Contact Form, Payment Form & Custom Form Builder : versions jusqu’à 1.56.1
Documentation
• NIST NVD