CVE-2026-13359
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Contact Form to DB by BestWebSoft dla WordPressa jest podatna na trwały atak XSS poprzez parametr cntctfrm_contact_dropdown we wszystkich wersjach do 1.7.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty kod wykonuje się w kontekście sesji administratora, gdy odwiedza on stronę menedżera wiadomości, co może prowadzić do przejęcia sesji administratora.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji administratora WordPressa, co może prowadzić do pełnej kompromitacji witryny, w tym modyfikacji treści, kradzieży danych i instalacji złośliwego oprogramowania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę. Dodatkowo należy ograniczyć dostęp do panelu administracyjnego i regularnie audytować wtyczki pod kątem podatności.
Inne podatności w Contact Form to DB by BestWebSoft
Oryginalny opis (angielski, źródło NVD)
The Contact Form to DB by BestWebSoft – Messages Database Plugin For WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via cntctfrm_contact_dropdown Parameter in all versions up to, and including, 1.7.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload executes in the context of an administrator's browser session when they visit the plugin's message manager page at /wp-admin/admin.php?page=cntctfrmtdb_manager, making it possible to compromise administrator-level sessions via a simple unauthenticated contact form submission.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS