CVE-2026-12998
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Forminator Forms dla WordPressa do wersji 1.55.0.2 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'draft'. Nieuwierzytelnieni atakujący mogą enumerować sekwencyjne ID wpisów i odczytywać zapisane dane formularzy innych użytkowników, w tym imiona, adresy e-mail, numery telefonów i treści wiadomości, gdy funkcja 'Save and Continue' jest włączona.
Ocena ryzyka
Ryzyko naruszenia prywatności użytkowników poprzez ujawnienie ich danych osobowych, co może prowadzić do kradzieży tożsamości lub naruszeń RODO.
Rekomendacja
Zaktualizuj wtyczkę Forminator Forms do najnowszej wersji. Wyłącz funkcję 'Save and Continue' jeśli nie jest niezbędna.
Oryginalny opis (angielski, źródło NVD)
The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.55.0.2 via the 'draft' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to enumerate sequential integer entry IDs via the 'draft' parameter and read other users' saved draft form data, including names, email addresses, phone numbers, addresses, and free-form message content. This is only exploitable on forms that have the 'Save and Continue' feature enabled.