CVE-2026-13378

WysokieCVSS 7.2

Opublikowano: 11/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka Form Vibes – Database Manager for Forms dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez pole formularza Contact Form 7 we wszystkich wersjach do 1.5.2 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Ocena ryzyka

Nieuwierzytelniony atakujący może wstrzyknąć dowolny skrypt webowy na stronę, który wykona się przy każdym dostępie użytkownika do zainfekowanej strony, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Form Vibes do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy tymczasowo wyłączyć wtyczkę.

Inne podatności w Form Vibes – Database Manager for Forms

CVE-2026-61947Wysokie
Wtyczka Form Vibes – Database Manager for Forms w wersji do 1.5.2 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting). Niezalogowany atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

The Form Vibes – Database Manager for Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Contact Form 7 Form Field in all versions up to, and including, 1.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.