CVE-2026-11776

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na atak SQL Injection poprzez parametr 'inputs' w wersjach do 1.15.42 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W wersjach Form Maker od 10Web do 1.15.38 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPressa jest podatna na odbity atak XSS przez parametr 'inputs (array key)' we wszystkich wersjach do 1.15.48 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola długości i szerokości geograficznej znacznika na mapie we wszystkich wersjach do 1.15.47 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPress jest podatna na odbicie typu cross-site scripting (Reflected XSS) poprzez parametr bulk_action we wszystkich wersjach do 1.15.46 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Form Maker by 10Web (wersje do 1.15.49) jest podatna na trwały XSS (Stored Cross-site Scripting) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych. Złośliwy kod JavaScript wprowadzony przez formularz jest przechowywany i wykonywany, gdy użytkownik odwiedza zainfekowaną stronę.

Wtyczka Form Maker by 10Web dla WordPressa do wersji 1.15.44 włącznie jest podatna na ślepą iniekcję SQL przez placeholder '{username}' w polu dynamicznego wyboru. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dodatkowe zapytania SQL i wyciągnąć wrażliwe dane z bazy.

Wtyczka Form Maker by 10Web przed wersją 1.15.45 nie parametryzuje poprawnie wartości kontrolowanej przez użytkownika, która jest podstawiana do dynamicznego zapytania SQL dla pola wyboru opartego na bazie danych. Pozwala to użytkownikom z rolą subskrybenta na przeprowadzanie ataków SQL injection drugiego rzędu.

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na ogólną injekcję SQL poprzez parametr 'name' we wszystkich wersjach do 1.15.43 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka WordPress Form Maker by 10Web w wersjach przed 1.15.38 nieprawidłowo przygotowuje zapytania SQL, gdy używana jest funkcja "MySQL Mapping". Może to umożliwić ataki SQL Injection w określonych kontekstach.