CVE-2026-12421
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka ARforms dla WordPressa do wersji 7.2.1 włącznie jest podatna na trwałe ataki XSS przez pole hasła. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może wykraść sesje administratorów, przekierować użytkowników na złośliwe strony lub zainfekować witrynę złośliwym oprogramowaniem.
Rekomendacja
Zaktualizuj wtyczkę ARforms do najnowszej dostępnej wersji, która zawiera poprawki bezpieczeństwa.
Inne podatności w ARforms
Zobacz wszystkie- CVE-2026-57338Wysokie
Wtyczka ARForms w wersji 7.1.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2024-13784Krytyczne
Wtyczka ARForms dla WordPressa do wersji 1.8.5 włącznie jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych z formularzy. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, ale bez łańcucha POP w samej wtyczce nie ma to wpływu, chyba że zainstalowano inną wtyczkę lub motyw z łańcuchem POP.
- CVE-2024-54216Wysokie
Wtyczka ARForms dla WordPressa zawiera podatność na path traversal, umożliwiającą atakującemu odczyt plików poza katalogiem głównym aplikacji. Problem dotyczy wersji przed 7.0.2.
Oryginalny opis (angielski, źródło NVD)
The ARforms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'password' Field Values in all versions up to, and including, 7.2.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.