CVE-2026-4373

Les sites WordPress utilisant l'extension JetFormBuilder (version 3.5.6.2 et versions antérieures) sont vulnérables à une faille qui permet à un attaquant de lire des fichiers sensibles du système de fichiers local du serveur. Un attaquant distant non authentifié peut déclencher cela en soumettant une requête de formulaire spécialement conçue, qui trompe le système pour qu'il joigne des fichiers privés du serveur à un e-mail sortant. Cette exploitation est relativement facile à exécuter car elle ne nécessite ni identifiants de connexion ni interaction de l'utilisateur, à condition qu'un formulaire soit configuré avec à la fois un champ « Media Field » et une action de pièce jointe par e-mail.