CVE-2026-14872
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w wtyczce WordPress 'Database for Contact Form 7, WPforms, Elementor forms' przed wersją 1.5.5. Parametr nie jest odpowiednio sanityzowany i escapowany przed użyciem w zapytaniu SQL, co umożliwia atak użytkownikom z określoną rolą (domyślnie administratorzy, ale może być delegowana).
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, modyfikacji lub usunięcia danych. Atak może być przeprowadzony przez użytkowników z uprawnieniami niższymi niż administrator, jeśli zostały im nadane.
Rekomendacja
Zaktualizuj wtyczkę do wersji 1.5.5 lub nowszej. Ogranicz przyznawanie uprawnień do minimum i regularnie audytuj role użytkowników.
Inne podatności w Database for Contact Form 7, WPforms, Elementor forms
Zobacz wszystkie- CVE-2026-14870Wysokie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.3 nieprawidłowo oczyszcza i escapuje parametr przed odbiciem go na stronie administracyjnej. Prowadzi to do Refleksyjnego Cross-Site Scripting (XSS), które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.
- CVE-2026-12081Średnie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.2 nie ogranicza dozwolonych klas PHP podczas deserializacji wartości pola formularza dostarczonej przez atakującego. Umożliwia to niezautoryzowanym użytkownikom wstrzyknięcie dowolnych obiektów PHP, które są tworzone, gdy administrator przegląda zapisane zgłoszenie. Jest to niekompletne załatanie podatności CVE-2025-7384 i CVE-2026-2599, gdzie zabezpieczono ścieżki deserializacji, ale pominięto ścieżkę pola pliku w edytorze zgłoszeń.
- CVE-2026-9145Średnie
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa do wersji 1.5.1 zawiera podatność na dowolne kopiowanie plików. Funkcja create_entry_el() przekazuje wartość raw_value z obiektu Form_Record Elementor Pro bezpośrednio do funkcji copy() bez walidacji, co pozwala atakującemu na skopiowanie dowolnego pliku z serwera lub z zewnętrznego URL.
Oryginalny opis (angielski, źródło NVD)
The Database for Contact Form 7, WPforms, Elementor forms WordPress plugin before 1.5.5 does not properly sanitise and escape a parameter before using it in a SQL statement, leading to a SQL Injection exploitable by users granted a specific capability which is limited to administrators by default but can be delegated to lower privileged roles.