CVE-2025-12535
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 'SureForms' jest podatna na obejście ochrony CSRF we wszystkich wersjach do 1.13.1 włącznie. Wtyczka rozdaje ogólne nonce REST API (wp_rest) nieuwierzytelnionym użytkownikom, co pozwala na obejście ochrony CSRF na endpointach REST API opierających się wyłącznie na weryfikacji nonce.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą wywoływać nieautoryzowane akcje, takie jak hooki po wysłaniu formularza, a potencjalnie także endpointy REST innych wtyczek.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 1.13.1 lub usuń ją, jeśli nie jest używana; przejrzyj endpointy REST API pod kątem dodatkowych kontroli uwierzytelniania.
Inne podatności w SureForms
Zobacz wszystkie- CVE-2026-116387Średnie
Wtyczka SureForms (do wersji 2.12.9) zawiera lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może uzyskać dostęp do funkcji lub danych wymagających wyższych uprawnień.
- CVE-2026-116402Średnie
Wtyczka SureForms (Brainstorm Force) do wersji 2.12.9 nie neutralizuje poprawnie tagów HTML powiązanych ze skryptami, co umożliwia podstawowy atak XSS i wstrzyknięcie kodu. Podatność dotyczy wersji od początku do 2.12.9.
- CVE-2026-108495Średnie
Podatność typu Stored XSS w SureForms (sureforms) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 2.12.7.
- CVE-2026-18406Wysokie
Wtyczka SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz dla WordPressa jest podatna na przechowywany atak XSS przez ładunek zakodowany encją w polu tekstowym we wszystkich wersjach do 2.12.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
- CVE-2026-85308Średnie
Wtyczka SureForms od Brainstorm Force do wersji 2.12.5 ma podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-19500Wysokie
Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.
- CVE-2026-7623Średnie
Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-11567Średnie
Wtyczka SureForms dla WordPress przed wersją 2.11.1 nieprawidłowo waliduje kwotę płatności w formularzach korzystających z dynamicznie pobieranej (zmiennej/ukrytej) kwoty, co pozwala nieuwierzytelnionym użytkownikom na niedopłacenie za skonfigurowany produkt lub subskrypcję. Formularze ze stałą, skonfigurowaną ceną nie są podatne.
- CVE-2026-15288Wysokie
Wtyczka SureForms dla WordPressa do wersji 2.2.1 włącznie zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych. Funkcje 'create_payment_intent' i 'create_subscription_intent' akceptują kwotę płatności bezpośrednio z danych POST bez weryfikacji z ceną formularza, co pozwala nieuwierzytelnionym atakującym na modyfikację kwoty płatności.
- CVE-2025-12536Średnie
Wtyczka SureForms dla WordPress w wersjach do 1.13.1 włącznie jest podatna na ujawnienie poufnych informacji poprzez rejestrację metadanych posta '_srfm_email_notification'. Wynika to z ustawienia parametru 'auth_callback' na '__return_true', co umożliwia nieuwierzytelniony dostęp do metadanych. Nieuwierzytelnieni atakujący mogą wyodrębnić poufne dane, w tym konfiguracje powiadomień e-mail zawierające adresy CRM/help desk, odbiorców CC/BCC oraz szablony powiadomień.
Oryginalny opis (angielski, źródło NVD)
The SureForms plugin for WordPress is vulnerable to Cross-Site Request Forgery Bypass in all versions up to, and including, 1.13.1. This is due to the plugin distributing generic WordPress REST API nonces (wp_rest) to unauthenticated users via the 'wp_ajax_nopriv_rest-nonce' action. While the plugin legitimately needs to support unauthenticated form submissions, it incorrectly uses generic REST nonces instead of form-specific nonces. This makes it possible for unauthenticated attackers to bypass CSRF protection on REST API endpoints that rely solely on nonce verification without additional authentication checks, allowing them to trigger unauthorized actions such as the plugin's own post-submission hooks and potentially other plugins' REST endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS