Критическая уязвимость в плагине Forminator: RCE на 600 000 сайтов WordPress

В плагине Forminator Forms для WordPress (версии 1.56.1 и ниже) нашли уязвимость CVE-2026-15748 с оценкой CVSS 9.8. Атакующий без аутентификации подменяет настройки загрузки файлов через поле Select и обходит блоклист опасных расширений, добавляя символ | к MIME-типу. Исправление вышло в версии 1.56.2.

• CVSS 9.8: удалённое выполнение кода без аутентификации
• Уязвимы версии 1.56.1 и ниже, исправлено в 1.56.2
• Под угрозой более 600 000 сайтов на WordPress
• Обход блоклиста через символ | в MIME-типе