CVE-2026-101921
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'attacker-chosen key referenced by the smart tag' we wszystkich wersjach do 2.0.2.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku. Może to prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę WPForms do wersji nowszej niż 2.0.2.1, gdy tylko będzie dostępna, oraz unikaj osadzania smart tagów {query_var} w atrybutach iframe srcdoc w opisach formularzy.
Inne podatności w WPForms
Zobacz wszystkie- CVE-2026-88996Średnie
Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'page_title' oraz Smart Tag {page_title} w wersjach do 2.0.2 włącznie z powodu niewystarczającej sanityzacji i escapowania. Luka jest wykorzystywana tylko w formularzach, których komunikat potwierdzenia umieszcza Smart Tag {page_title} w kontekście atrybutu HTML.
- CVE-2026-15782Średnie
Wtyczka WPForms dla WordPress do wersji 2.0.0.1 ma podatność Stored XSS przez atrybut data-sitekey integracji OptinMonster. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzyknąć skrypty, które wykonają się przy wyświetleniu strony.
- CVE-2026-12127Średnie
Wtyczka WPForms dla WordPressa do wersji 1.10.2 włącznie jest podatna na wstrzykiwanie nagłówków e-mail przez CRLF Injection. Błąd wynika z nieprawidłowego przetwarzania nazwy wyświetlanej Reply-To, co pozwala nieuwierzytelnionym atakującym na dodanie dowolnych nagłówków, takich jak Bcc, do wychodzących wiadomości powiadomień.
- CVE-2026-48835Wysokie
W wersjach WPForms <= 1.10.0.4 występuje problem z nieautoryzowanym dostępem do formularza kontaktowego, co prowadzi do naruszenia kontroli dostępu.
- CVE-2026-4986Średnie
Wtyczka WPForms dla WordPressa przed wersją 1.10.0.5 nie weryfikuje autentyczności przychodzących zdarzeń webhook PayPal przed ich przetworzeniem, co pozwala nieuwierzytelnionym atakującym na fałszowanie ładunków webhook i manipulowanie stanem płatności dowolnych transakcji.
- CVE-2026-7792Średnie
Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.
Oryginalny opis (angielski, źródło NVD)
The WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'attacker-chosen key referenced by the smart tag (e.g. "x")' parameter in all versions up to, and including, 2.0.2.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires that a site administrator has previously saved a form whose description embeds a {query_var} Smart Tag inside an iframe srcdoc attribute and has enabled Show Description on a public-facing page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS