CVE-2026-12081
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.2 nie ogranicza dozwolonych klas PHP podczas deserializacji wartości pola formularza dostarczonej przez atakującego. Umożliwia to niezautoryzowanym użytkownikom wstrzyknięcie dowolnych obiektów PHP, które są tworzone, gdy administrator przegląda zapisane zgłoszenie. Jest to niekompletne załatanie podatności CVE-2025-7384 i CVE-2026-2599, gdzie zabezpieczono ścieżki deserializacji, ale pominięto ścieżkę pola pliku w edytorze zgłoszeń.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez niezautoryzowanego atakującego, co może prowadzić do przejęcia kontroli nad witryną WordPress, kradzieży danych lub dalszego rozprzestrzeniania się ataku w infrastrukturze.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Database for Contact Form 7, WPforms, Elementor forms do wersji 1.5.2 lub nowszej, która zawiera pełne zabezpieczenie przed deserializacją obiektów PHP.
Inne podatności w Database for Contact Form 7, WPforms, Elementor forms
Zobacz wszystkie- CVE-2026-14872Średnie
Podatność SQL Injection w wtyczce WordPress 'Database for Contact Form 7, WPforms, Elementor forms' przed wersją 1.5.5. Parametr nie jest odpowiednio sanityzowany i escapowany przed użyciem w zapytaniu SQL, co umożliwia atak użytkownikom z określoną rolą (domyślnie administratorzy, ale może być delegowana).
- CVE-2026-14870Wysokie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.3 nieprawidłowo oczyszcza i escapuje parametr przed odbiciem go na stronie administracyjnej. Prowadzi to do Refleksyjnego Cross-Site Scripting (XSS), które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.
- CVE-2026-9145Średnie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa do wersji 1.5.1 zawiera podatność na dowolne kopiowanie plików. Funkcja create_entry_el() przekazuje wartość raw_value z obiektu Form_Record Elementor Pro bezpośrednio do funkcji copy() bez walidacji, co pozwala atakującemu na skopiowanie dowolnego pliku z serwera lub z zewnętrznego URL.
Oryginalny opis (angielski, źródło NVD)
The Database for Contact Form 7, WPforms, Elementor forms WordPress plugin before 1.5.2 does not restrict the PHP classes allowed when unserializing an attacker-supplied form-field value, allowing unauthenticated users to inject arbitrary PHP objects that are instantiated when an administrator views the stored entry. This is an incomplete fix of CVE-2025-7384 and CVE-2026-2599, whose deserialization paths were hardened while the entry-editor file-field path was missed.