CVE-2026-120532

W wpForo Forum w wersjach do 3.1.0 występuje luka związana z nieautoryzowanym złamaniem uwierzytelniania.

W wpForo Forum w wersjach do 3.1.0 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.

W wpForo Forum w wersjach do 3.0.4 występuje podatność na nieautoryzowaną iniekcję SQL.

Wtyczka wpForo Forum dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka wpForo Forum dla WordPress w wersjach do 3.2.1 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'data' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych, pod warunkiem że w konfiguracji forum zarejestrowano pole formularza tematu typu checkbox lub pole select/autocomplete z isMultiChoice.

Wtyczka wpForo Forum dla WordPress w wersjach do 3.2.2 włącznie jest podatna na eskalację uprawnień poprzez parametr data[secondary_groupids] w obsłudze żądania POST wpforo_action_profile_update. Błąd typu w mechanizmie autoryzacji w funkcji Members::update() pozwala uwierzytelnionemu atakującemu z poziomem Subscriber i wyższym na eskalację do administratora forum wpForo poprzez wstrzyknięcie identyfikatora grupy Admin. Wymaga to co najmniej 3 zatwierdzonych postów i ważnego nonce z formularza profilu.

Wtyczka wpForo Forum dla WordPress w wersjach do 3.2.2 włącznie jest podatna na czasową SQL Injection poprzez parametr 'href[locale]' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych; wymagany nonce jest publicznie udostępniany na każdej stronie forum.

Wtyczka wpForo Forum dla WordPressa (do wersji 3.2.2) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji theme_delete. Uwierzytelniony atakujący z poziomem Subskrybenta może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu. Wymaga to jednak utworzenia przez administratora niestandardowej grupy z pustą rolą i uprawnieniem 'mth'.

Wtyczka wpForo Forum dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole profilu 'telegram' w wersjach do 3.1.6 włącznie. Surowa tablica $_POST['data'] jest kopiowana do zmiennej $custom_fields przed uruchomieniem funkcji validate() i sanitize(), które działają tylko na równoległej referencji $user, przez co dane są zapisywane bez sanityzacji.

Podatność Cross Site Scripting (XSS) w wtyczce wpForo Forum w wersjach do 3.1.5 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Subscriber.