CVE-2026-100179
ŚrednieCVSS 6.1Streszczenie
Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (dowolny parametr URL używany w równaniu formularza). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie publicznego formularza z dropdownem Select2, którego opcje są wypełniane przez równanie używające GETURLPARAMETER() i setChoices().
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub manipulacji treścią strony. Atak wymaga interakcji użytkownika, ale może dotknąć każdego odwiedzającego stronę z podatnym formularzem.
Rekomendacja
Zaktualizuj wtyczkę Calculated Fields Form do najnowszej wersji z poprawką. Dodatkowo rozważ zmianę konfiguracji formularzy, aby nie używać GETURLPARAMETER() w równaniach, jeśli nie jest to konieczne.
Inne podatności w Calculated Fields Form
Zobacz wszystkie- CVE-2026-100184Średnie
Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (nazwa wybrana przez atakującego, pasująca do formularza url.<name>). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie pola Text Area z wartością 'url.<name>' i wyłączonym predefinedClick.
- CVE-2026-95529Wysokie
Wtyczka Calculated Fields Form w wersjach do 5.5.1.1 włącznie zawiera podatność Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
Oryginalny opis (angielski, źródło NVD)
The Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More plugin for WordPress is vulnerable to Reflected DOM-Based Cross-Site Scripting via the 'x (any URL parameter consumed by the form's calculated equation)' parameter in all versions up to, and including, 5.5.1.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires the target site to have a public form configured with a Select2-enabled dropdown whose choices are populated via a calculated equation that pipes a URL parameter through GETURLPARAMETER() into setChoices({texts:[...]}); given that configuration, exploitation requires only a single crafted link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS