CVE-2026-14325

NiskieCVSS 3.5

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 21/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa przed wersją 1.3.9.9 nie ucieka jednego ze swoich ustawień przed użyciem go jako nazwy tagu HTML w danych wyjściowych front-endu, co pozwala użytkownikom z dostępem administratora na wstrzykiwanie dowolnych skryptów internetowych, które wykonują się na każdej stronie front-endu renderującej pole przesyłania plików.

Ocena ryzyka

Administratorzy mogą wstrzykiwać złośliwe skrypty, które wykonują się w przeglądarkach odwiedzających, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj wtyczkę Drag and Drop Multiple File Upload for Contact Form 7 do wersji 1.3.9.9 lub nowszej, która zawiera poprawkę ucieczki. Ogranicz dostęp administratora do zaufanych osób.

Inne podatności w Drag and Drop Multiple File Upload for Contact Form 7

CVE-2026-8991Średnie
Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa do wersji 1.3.9.7 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienia 'drag_n_drop_text' i 'drag_n_drop_browse_text'. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia.

Oryginalny opis (angielski, źródło NVD)

The Drag and Drop Multiple File Upload for Contact Form 7 WordPress plugin before 1.3.9.9 does not escape one of its settings before using it as an HTML tag name in front-end output, allowing users with administrator access to inject arbitrary web scripts that execute on any front-end page rendering its upload field.