CVE-2026-11794
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Form Integration dla WordPress przed wersją 2.1.1 nie ogranicza roli WordPress przypisywanej podczas tworzenia użytkownika z publicznego formularza. Umożliwia to niezalogowanym odwiedzającym utworzenie konta administratora, jeśli aktywna integracja mapuje rolę użytkownika na publiczne pole formularza, co wymaga specyficznej, niestandardowej konfiguracji.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego przejęcia kontroli nad witryną WordPress poprzez utworzenie konta administratora przez osobę atakującą. Może to prowadzić do pełnej kompromitacji strony, kradzieży danych lub dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Advanced Form Integration do wersji 2.1.1 lub nowszej. Dodatkowo zaleca się przegląd konfiguracji integracji, aby upewnić się, że role użytkowników nie są mapowane na publiczne pola formularzy.
Inne podatności w Advanced Form Integration
Zobacz wszystkie- CVE-2026-16587Średnie
Wtyczka Advanced Form Integration dla WordPressa do wersji 2.6.0 włącznie nieprawidłowo weryfikuje uprawnienia użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą nadpisać przechowywane tokeny OAuth MailUp w opcji adfoin_mailup_keys, przejmując kontrolę nad przesyłaniem danych formularzy do konta MailUp atakującego lub całkowicie przerywając integrację.
- CVE-2026-42659Średnie
Wersje Advanced Form Integration do 1.126.12 mają lukę w kontroli dostępu, która może pozwolić subskrybentom na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Advanced Form Integration — Connect Forms to 200+ Apps WordPress plugin before 2.1.1 does not restrict the WordPress role assigned when it creates a user from a public form submission, allowing unauthenticated visitors to create an administrator account when an active integration maps the user role to a public form field. This requires a specific, non-default multi-Advanced Form Integration — Connect Forms to 200+ Apps WordPress plugin before 2.1.1 configuration.