CVE-2026-104748
KrytyczneCVSS 9.8Streszczenie
Wtyczka SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications dla WordPressa w wersjach do 3.10.0 włącznie jest podatna na eskalację uprawnień. Akcja AJAX `wp_ajax_nopriv_simpleform_wp_register` nie sprawdza uprawnień do przypisywania ról, a funkcja `save_custom_fields_to_user_meta()` używa listy wykluczeń pomijającej `wp_capabilities`, co w połączeniu z domyślnymi ustawieniami `get_form_settings()` umożliwia nieuwierzytelnionemu atakującemu utworzenie konta administratora WordPressa. Wymagany nonce jest publicznie ujawniany w obiekcie JavaScript `front_end_data` na każdej stronie front-endu, więc każdy niezalogowany odwiedzający może go łatwo pozyskać.
Ocena ryzyka
Nieuwierzytelniony atakujący może utworzyć konto z uprawnieniami administratora WordPressa, przejmując pełną kontrolę nad witryną. Prowadzi to do całkowitego przejęcia serwisu, możliwości instalacji złośliwego kodu i kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę SimpleForm do wersji nowszej niż 3.10.0 lub ją wyłączyć, jeśli poprawka nie jest dostępna. Zaleca się także sprawdzenie, czy w systemie nie powstały nieautoryzowane konta administratora.
Powiązane podatności
- CVE-2026-103904Krytyczne
Publiczny endpoint zgody w JTL-Shop przyjmuje dowolne nazwy zgód od nieuwierzytelnionych odwiedzających bez walidacji względem skonfigurowanych elementów zgody. Nazwy te są zapisywane w statystykach zgód i renderowane bez kodowania wyjściowego w backendzie administracyjnym, co pozwala na wstrzyknięcie kodu skryptowego wykonywanego w przeglądarce administratora.
- CVE-2026-14851Krytyczne
W aplikacji webowej do fakturowania klientów występuje luka polegająca na braku kontroli autoryzacji w punkcie końcowym udostępniającym pliki PDF z fakturami. Powoduje to ujawnienie danych osobowych (PII) i finansowych, takich jak nazwiska, adresy, numery faktur, dane płatności i informacje podatkowe, osobom nieupoważnionym. Niektóre adresy URL dokumentów fakturowania są także publicznie dostępne przez wyszukiwarki, co dodatkowo ułatwia dostęp do poufnych plików.
- CVE-2026-89310Krytyczne
Parametr pobierany z treści żądania jest wstawiany do instrukcji T-SQL bez parametryzacji ani escapowania. Umożliwia to zdalnemu atakującemu wykonanie dowolnych instrukcji SQL w kontekście konta bazy danych aplikacji.
- CVE-2026-87855Krytyczne
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-104800Krytyczne
Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-110447Krytyczne
Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.
- CVE-2026-110002Krytyczne
Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-93388Krytyczne
Wtyczka Printcart Store (PCDesigner / NB Designer) dla WooCommerce do wersji 2.9.1 włącznie jest podatna na nieuwierzytelnione dowolne przesyłanie plików prowadzące do zdalnego wykonania kodu. Akcja AJAX nbdesigner_copy_image_from_url jest zarejestrowana dla niezalogowanych wywołań, a jej gałąź Google Drive odtwarza nazwę pliku docelowego z surowego parametru gapi[name], omijając listę dozwolonych rozszerzeń, i zapisuje pobrane bajty do katalogu dostępnego z sieci. Umożliwia to nieuwierzytelnionym atakującym zapisanie pliku .php w lokalizacji wykonywalnej i wykonanie dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
The SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.10.0 This is due to the `wp_ajax_nopriv_simpleform_wp_register` AJAX action lacking any capability check for role assignment and the `save_custom_fields_to_user_meta()` function using an exclusion list that omits `wp_capabilities`, combined with `get_form_settings()` returning a hard-coded defaults array that unconditionally enables meta writing regardless of the supplied `form_id`. This makes it possible for unauthenticated attackers to create a new Administrator-level WordPress account by supplying `wp_capabilities[administrator]=1` alongside standard registration fields. The nonce required by the endpoint is publicly emitted into the `front_end_data` JavaScript object on every front-end page via `wp_enqueue_scripts`, making it trivially obtainable by any unauthenticated visitor before submitting the malicious request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS