Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en plugin JetFormBuilder para WordPress (CVE-2026-4373)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
21/03/2026
Última modificación:
23/03/2026

Descripción

El plugin JetFormBuilder para WordPress es vulnerable a la lectura arbitraria de archivos a través de salto de ruta en todas las versiones hasta la 3.5.6.2, inclusive. Esto se debe a que el método 'Uploaded_File::set_from_array' acepta rutas de archivo proporcionadas por el usuario desde la carga útil JSON preestablecida del campo de medios sin validar que la ruta pertenezca al directorio de subidas de WordPress. Combinado con una verificación insuficiente de mismo archivo en 'File_Tools::is_same_file' que solo compara nombres base, esto hace posible que atacantes no autenticados exfiltren archivos locales arbitrarios como adjuntos de correo electrónico al enviar una solicitud de formulario manipulada cuando el formulario está configurado con un campo de medios y una acción de envío de correo electrónico con adjunto de archivo.

Impacto

Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
7.50
Gravedad 3.x
ALTA

Referencias a soluciones, herramientas e información