CVE-2026-14870
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.3 nieprawidłowo oczyszcza i escapuje parametr przed odbiciem go na stronie administracyjnej. Prowadzi to do Refleksyjnego Cross-Site Scripting (XSS), które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.
Ocena ryzyka
Organizacja narażona jest na przejęcie konta administratora poprzez wykonanie złośliwego skryptu w przeglądarce ofiary.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Database for Contact Form 7, WPforms, Elementor forms do wersji 1.5.3 lub nowszej.
Inne podatności w Database for Contact Form 7, WPforms, Elementor forms
Zobacz wszystkie- CVE-2026-14872Średnie
Podatność SQL Injection w wtyczce WordPress 'Database for Contact Form 7, WPforms, Elementor forms' przed wersją 1.5.5. Parametr nie jest odpowiednio sanityzowany i escapowany przed użyciem w zapytaniu SQL, co umożliwia atak użytkownikom z określoną rolą (domyślnie administratorzy, ale może być delegowana).
- CVE-2026-12081Średnie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.2 nie ogranicza dozwolonych klas PHP podczas deserializacji wartości pola formularza dostarczonej przez atakującego. Umożliwia to niezautoryzowanym użytkownikom wstrzyknięcie dowolnych obiektów PHP, które są tworzone, gdy administrator przegląda zapisane zgłoszenie. Jest to niekompletne załatanie podatności CVE-2025-7384 i CVE-2026-2599, gdzie zabezpieczono ścieżki deserializacji, ale pominięto ścieżkę pola pliku w edytorze zgłoszeń.
- CVE-2026-9145Średnie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa do wersji 1.5.1 zawiera podatność na dowolne kopiowanie plików. Funkcja create_entry_el() przekazuje wartość raw_value z obiektu Form_Record Elementor Pro bezpośrednio do funkcji copy() bez walidacji, co pozwala atakującemu na skopiowanie dowolnego pliku z serwera lub z zewnętrznego URL.
Oryginalny opis (angielski, źródło NVD)
The Database for Contact Form 7, WPforms, Elementor forms WordPress plugin before 1.5.3 does not properly sanitise and escape a parameter before reflecting it back in an admin page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.