CVE-2026-107658
ŚrednieCVSS 5.4Streszczenie
Wtyczka BuddyForms dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'bf_post_type (and buddyforms_form_content)' we wszystkich wersjach do 2.10.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga istnienia co najmniej jednego formularza BuddyForms z włączonymi publicznymi zgłoszeniami (aby można było pobrać wymagany nonce ze strony publicznego formularza) oraz aby aktywny motyw rejestrował widgetyzowany pasek boczny, umożliwiając wstrzykniętemu customize_changeset umieszczenie złośliwego widgetu Custom HTML w interfejsie witryny.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkowników odwiedzających witrynę, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprowadzania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę BuddyForms do wersji nowszej niż 2.10.5, która naprawia podatność. Dodatkowo rozważ wyłączenie publicznych zgłoszeń, jeśli nie są potrzebne, oraz przeglądaj niestandardowe widgety HTML.
Inne podatności w BuddyForms
Zobacz wszystkie- CVE-2026-81785Średnie
Wtyczka BuddyForms w wersjach do 2.9.0 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu pozwala na wykonanie operacji, do których użytkownik nie powinien mieć uprawnień.
- CVE-2026-107622Krytyczne
Wtyczka BuddyForms dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 2.10.5 włącznie poprzez atak mylenia typu formularza przez parametr bf_post_type. Nieuwierzytelniony atakujący może wstawić złośliwą konfigurację formularza z kontrolowaną wartością new_user_role do globalnego rejestru formularzy, a następnie zarejestrować konto z uprawnieniami administratora. Wymaga to włączonej opcji "Każdy może się zarejestrować" i co najmniej jednego publicznego formularza BuddyForms.
- CVE-2026-118437Niskie
Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.
- CVE-2026-118101Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.
- CVE-2026-118100Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.
- CVE-2025-62973Średnie
BuddyForms (wtyczka Themekraft) do wersji 2.10.2 zawiera podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Atakujący może wykorzystać to do nieautoryzowanych operacji.
- CVE-2025-32151Wysokie
Wtyczka BuddyForms (wersje do 2.10.2) zawiera podatność PHP Local File Inclusion z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require.
Oryginalny opis (angielski, źródło NVD)
The BuddyForms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'bf_post_type (and buddyforms_form_content)' parameter in all versions up to, and including, 2.10.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that at least one BuddyForms form with public submissions enabled exists on the site (so that the required nonce can be harvested from the public form page) and that the active theme registers a widgetized sidebar, allowing the injected customize_changeset to place a malicious Custom HTML widget into the site's front end.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS