CVE-2026-124814 Ultimate Addons for Elementor Forms 外掛未驗證任意檔案上傳漏洞

三句重點

成因

外掛內建的檔案上傳欄位未正確驗證上傳檔案的副檔名。

影響

攻擊者可上傳 PHP 腳本並執行任意程式碼，可能完全控制網站。

條件

無需登入即可利用，且上傳後的檔案需可經由網站存取。

版本比對

修補方式

升級至 1.0.8 以上版本。

攻擊思路

1. 初始存取：無需驗證身分，直接對目標 WordPress 站台上啟用該外掛的檔案上傳欄位發送上傳請求。 來源
2. 繞過檔案驗證：上傳欄位未正確驗證副檔名，使可執行的腳本類型檔案（如 PHP）得以被接受並儲存於伺服器。 來源
3. 程式碼執行：若上傳檔案可經由 web 存取，攻擊者再請求該檔案即可在伺服器上執行任意程式碼。具體端點與參數官方尚未公開。 來源

偵測提示

• 網站上傳目錄（wp-content/uploads 等）：檢查是否出現非預期的 .php、.phtml、.phar 等可執行副檔名檔案，以及近期新建的可疑腳本。
• Web 伺服器存取日誌：留意未登入來源對上傳相關端點的 multipart POST，以及隨後對上傳目錄內腳本檔的 GET 請求。
• WordPress 外掛清單：確認是否安裝 Ultimate Addons for Elementor Forms 且版本低於 1.0.8。
• 主機程序與外連行為：注意 web 伺服器程序衍生的異常子程序或非預期的對外連線，可能代表已被植入 webshell。

暫時緩解

將 Ultimate Addons for Elementor Forms 外掛升級至 1.0.8 或以上版本。官方未提供暫時緩解措施；無法立即升級時，請先停用或移除該外掛，並限制上傳目錄執行 PHP，這些做法僅能降低風險，無法取代升級。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

🚨【資安漏洞通報】CVE-2026-124814
等級：Critical (9.8)
受影響套件：Ultimate Addons for Elementor Forms < 1.0.8（1.0.x 分支）
漏洞簡述：外掛內建的檔案上傳欄位未正確驗證上傳檔案的副檔名。；攻擊者可上傳 PHP 腳本並執行任意程式碼，可能完全控制網站。；無需登入即可利用，且上傳後的檔案需可經由網站存取。
建議措施：升級至 1.0.8 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-124814

參考連結

• https://www.cve.org/CVERecord?id=CVE-2026-124814
• https://nvd.nist.gov/vuln/detail/CVE-2026-124814
• https://wpscan.com/vulnerability/85f2e67b-4c6d-4817-9e4d-ef62a7ddb081/