CVE-2026-118100
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.
Ocena ryzyka
Wyciek poufnych danych konfiguracyjnych może umożliwić dalsze ataki, w tym spam lub obejście mechanizmów ochrony formularzy.
Rekomendacja
Zaktualizuj wtyczkę BuddyForms do wersji 2.10.3 lub nowszej. Do czasu aktualizacji rozważ rotację kluczy reCAPTCHA i monitoruj dostęp do eksportu konfiguracji.
Inne podatności w BuddyForms
Zobacz wszystkie- CVE-2026-81785Średnie
Wtyczka BuddyForms w wersjach do 2.9.0 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu pozwala na wykonanie operacji, do których użytkownik nie powinien mieć uprawnień.
- CVE-2026-118437Niskie
Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.
- CVE-2026-118101Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.
- CVE-2025-62973Średnie
BuddyForms (wtyczka Themekraft) do wersji 2.10.2 zawiera podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Atakujący może wykorzystać to do nieautoryzowanych operacji.
- CVE-2025-32151Wysokie
Wtyczka BuddyForms (wersje do 2.10.2) zawiera podatność PHP Local File Inclusion z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require.
Oryginalny opis (angielski, źródło NVD)
The BuddyForms WordPress plugin before 2.10.3 does not check that the requester is allowed to manage a form before exporting its configuration, allowing unauthenticated users to download any form's stored settings, including notification recipient email addresses and reCAPTCHA secret keys that are not shown on the public form.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS