CVE-2026-114180
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Metform (do wersji 4.3.2) zawiera podatność typu Missing Authorization wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnych ustawień autoryzacji.
Ocena ryzyka
Osoba atakująca może uzyskać dostęp do funkcji lub danych, do których nie ma uprawnień, co może skutkować nieautoryzowanymi operacjami w witrynie. Ryzyko dotyczy instalacji WordPress z wtyczką Metform.
Rekomendacja
Zaktualizuj wtyczkę Metform do wersji nowszej niż 4.3.2. Sprawdź i popraw konfigurację kontroli dostępu w witrynie.
Inne podatności w Metform
Zobacz wszystkie- CVE-2026-103339Średnie
Wtyczka Metform ma podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 4.3.0 włącznie.
- CVE-2026-86833Średnie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie filtruje ani nie koduje wartości pól formularza przed wstawieniem ich do treści HTML wiadomości e-mail, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnego kodu HTML do powiadomień e-mail wysyłanych do administratorów i nadawców.
- CVE-2026-86834Niskie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.
- CVE-2026-86832Średnie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.
- CVE-2026-18100Średnie
Wtyczka MetForm dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 4.1.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Payload omija filtr wp_kses_post, ponieważ nie zawiera tagów HTML, a transformacja str_replace w MetForm zapewnia dodatkową ścieżkę dostarczenia.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Wpmet Metform metform allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Metform: from n/a through 4.3.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS