Без логина. Без пароля. CVE-2026-0740 в Ninja Forms — File Uploads: CVSS 9.8, PR:N, UI:N.
🔍 Что сломано: функция
handle_upload не валидирует тип файла. Атакующий шлёт POST на admin-ajax.php — и .php-файл оказывается в wp-content/uploads/. Классический CWE-434.⚠️ Отдельный риск — премиум-расширение: обновления не идут через WordPress.org, нужно обновляться вручную. Патч (версия 3.3.27) вышел 19 марта 2026-го, CVE раскрыта 7 апреля — три недели форы для атакующих.
В статье — разбор kill chain по MITRE ATT\&CK: от разведки через WPScan до извлечения DB-credentials из
wp-config.php, плюс detection-правила и патч-дифф.https://codeby.net/threads/uyazvimost-ninja-forms-rce-cve-2026-0740-polnyi-razbor-ekspluatatsii-i-zashchity-wordpress.92676/