CVE-2026-1255

WysokieCVSS 7.5

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka YS LeadGen dla WordPressa w wersjach do 2.1.4 włącznie jest podatna na ujawnienie danych wrażliwych. Akcja AJAX 'ysleadgen_get_captured_data' jest dostępna dla nieuwierzytelnionych użytkowników, co pozwala na odczyt wszystkich danych z formularzy, w tym danych osobowych (imiona, adresy e-mail, treści wiadomości).

Ocena ryzyka

Nieuwierzytelniony atakujący może masowo pobierać dane osobowe przesłane przez użytkowników formularzy. Może to skutkować naruszeniem ochrony danych osobowych (RODO), wyciekiem danych klientów i konsekwencjami prawnymi oraz wizerunkowymi.

Rekomendacja

Zaktualizuj wtyczkę YS LeadGen do wersji nowszej niż 2.1.4, gdy tylko będzie dostępna. Do czasu wydania poprawki rozważ wyłączenie wtyczki lub ograniczenie dostępu do akcji AJAX 'ysleadgen_get_captured_data' oraz przeanalizuj logi pod kątem nieautoryzowanego dostępu.

Inne podatności w YS LeadGen

CVE-2026-1256Średnie
Wtyczka YS LeadGen dla WordPressa jest podatna na obejście autoryzacji i przechowywany atak XSS poprzez wiele endpointów AJAX we wszystkich wersjach do 2.1.4 włącznie, z powodu braku sprawdzania uprawnień w akcjach zarządzania popupami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej tworzenie dowolnych popupów i wstrzykiwanie złośliwego JavaScript, który wykonuje się przy wyświetleniu popupu, prowadząc do przechowywanego XSS.

Oryginalny opis (angielski, źródło NVD)

The YS LeadGen plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.1.4 due to the 'ysleadgen_get_captured_data' AJAX action being accessible to unauthenticated users. This makes it possible for unauthenticated attackers to retrieve all captured form submission data, including personally identifiable information (PII) such as names, email addresses, and message content submitted through YS LeadGen forms.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS