CVE-2026-105974

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień przed wyświetleniem danych ostatnich zgłoszeń formularzy w widżecie pulpitu. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) odczytać dane kontaktowe przesłane przez innych użytkowników, w tym imiona, adresy e-mail, tytuły formularzy i znaczniki czasu.

Ocena ryzyka

Nieuprawniony użytkownik może uzyskać dostęp do danych osobowych i kontaktowych przesłanych przez innych użytkowników, co stanowi naruszenie poufności i może skutkować konsekwencjami zgodności z RODO.

Rekomendacja

Zaktualizuj wtyczkę Visual Form Builder do wersji nowszej niż 3.1, gdy będzie dostępna. Do tego czasu rozważ ograniczenie ról użytkowników lub wyłączenie widżetu pulpitu.

Inne podatności w Visual Form Builder WordPress plugin

CVE-2026-105973Średnie
Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień ani nonce przy zmianie kolejności pól formularza. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) zmienić strukturę pól dowolnego formularza w witrynie, trwale psując jego publiczne wyświetlanie.

Oryginalny opis (angielski, źródło NVD)

The Visual Form Builder WordPress plugin through 3.1 does not perform an authorization check before displaying recent form submission data in a dashboard widget, allowing any authenticated user (Subscriber and above) to read other users' submitted contact information, including names, email addresses, form titles and timestamps.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS