CVE-2026-11881
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Fluent Forms do WordPressa przed wersją 6.2.6 nie dezynfekuje i nie escapuje jednego z ustawień konfiguracji pola formularza przed wyświetleniem go w skrypcie inline podczas renderowania formularza. Użytkownicy z rolą co najmniej Współautor (z delegowanym uprawnieniem zarządzania formularzami, ale bez unfiltered_html, np. w multisite) mogą przeprowadzić trwały atak XSS, który wykona się w przeglądarce każdego odwiedzającego formularz, w tym administratorów podglądających go.
Ocena ryzyka
Atakujący może wstrzyknąć trwały skrypt JavaScript, który wykona się w przeglądarkach odwiedzających stronę, potencjalnie kradnąc sesje administratorów lub modyfikując treść strony.
Rekomendacja
Zaktualizuj wtyczkę Fluent Forms do wersji 6.2.6 lub nowszej.
Inne podatności w Fluent Forms
Zobacz wszystkie- CVE-2026-18146Wysokie
Wtyczka Fluent Forms dla WordPressa (wersje do 6.2.11) jest podatna na przechowywany atak XSS przez wartości Smartcode w powiadomieniach. Nieuwierzytelniony atakujący może wstrzyknąć skrypty, które wykonają się w przeglądarce administratora podczas przeglądania dzienników zgłoszeń. Wymaga to skonfigurowania powiadomień e-mail z użyciem podatnych wartości.
- CVE-2026-17571Średnie
Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na Reflected Cross-Site Scripting (XSS) poprzez parametr 'param'. Niezautoryzowani atakujący mogą wstrzyknąć dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.
- CVE-2026-17567Średnie
Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'transaction'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym brute-force'owanie prawidłowych hashów transakcji i przeglądanie wrażliwych danych płatności, takich jak nazwa klienta, adres e-mail, adres rozliczeniowy, zamówione przedmioty, metoda płatności i status płatności innych użytkowników.
- CVE-2026-16655Wysokie
Wtyczka Fluent Forms dla WordPress do wersji 6.2.7 zawiera podatność na Stored XSS przez pole Name zagnieżdżone w `password`. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt JavaScript, który wykona się przy przeglądaniu strony.
- CVE-2026-5069Średnie
Wtyczka Fluent Forms dla WordPressa do wersji 6.2.1 włącznie zawiera podatność na nieprawidłową autoryzację w parametrze 'subscription_id'. Brak wystarczających kontroli własności w procesie anulowania płatności AJAX umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym anulowanie subskrypcji innych użytkowników.
- CVE-2026-11578Niskie
Wtyczka Fluent Forms dla WordPressa przed wersją 6.2.5 nie ogranicza prawidłowo usuwania wpisów formularzy do tych, którymi zarządza ograniczony menedżer. Pozwala to menedżerowi z ograniczeniami do konkretnych formularzy na trwałe usuwanie wpisów należących do innych formularzy. Wymaga to niestandardowej konfiguracji, w której administrator utworzył co najmniej jednego menedżera z ograniczeniami do określonych formularzy.
- CVE-2026-11880Niskie
Wtyczka Fluent Forms dla WordPressa przed wersją 6.2.1 nie weryfikuje poprawnie własności przed przetworzeniem żądania anulowania subskrypcji, co pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na anulowanie subskrypcji należących do innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Fluent Forms WordPress plugin before 6.2.6 does not sanitise and escape one of its form field configuration settings before outputting it inside an inline script when a form is rendered, which could allow users with a role as low as Contributor (with delegated form-management permission, and therefore lacking the unfiltered_html capability, e.g. in a multisite setup) to perform Stored Cross-Site Scripting attacks that execute in the browser of any visitor who loads the form, including administrators previewing it.