CVE-2026-103909
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Calculated Fields Form dla WordPressa jest podatna na odbite XSS oparte na DOM we wszystkich wersjach do 5.5.1.5 włącznie, poprzez parametr 'arbitrary' (nazwy powiązane przez administratora przez url.<name>). Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych. Wymaga to jednak konkretnej konfiguracji formularza z co najmniej dwoma polami url.<name> użytymi w równaniu konkatenacji.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 5.5.1.5, gdy będzie dostępna, oraz przejrzyj konfiguracje formularzy pod kątem użycia wielu pól url.<name> w równaniach konkatenacji.
Inne podatności w Calculated Fields Form
Zobacz wszystkie- CVE-2026-100179Średnie
Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (dowolny parametr URL używany w równaniu formularza). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie publicznego formularza z dropdownem Select2, którego opcje są wypełniane przez równanie używające GETURLPARAMETER() i setChoices().
- CVE-2026-100184Średnie
Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (nazwa wybrana przez atakującego, pasująca do formularza url.<name>). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie pola Text Area z wartością 'url.<name>' i wyłączonym predefinedClick.
- CVE-2026-95529Wysokie
Wtyczka Calculated Fields Form w wersjach do 5.5.1.1 włącznie zawiera podatność Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
Oryginalny opis (angielski, źródło NVD)
The Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More plugin for WordPress is vulnerable to Reflected DOM-Based Cross-Site Scripting via the 'arbitrary (whichever names the admin bound via url.<name>)' parameter in all versions up to, and including, 5.5.1.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires the targeted site to host a publicly accessible form in which an administrator has configured at least two fields with url.<name> predefined values that are used together in a concatenation equation — a plausible but not universal configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS