CVE-2026-15021
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka wpForo Forum dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole profilu 'location' we wszystkich wersjach do 3.1.1 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i braku kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na wstrzyknięcie dowolnych skryptów webowych.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji, przejęcia kont lub defacementu strony.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę wpForo Forum do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność. Jeśli aktualizacja nie jest dostępna, należy tymczasowo wyłączyć wtyczkę lub ograniczyć dostęp do edycji pola 'location' tylko dla zaufanych użytkowników.
Inne podatności w wpForo Forum
Zobacz wszystkie- CVE-2026-49767Krytyczne
W wpForo Forum w wersjach do 3.1.0 występuje luka związana z nieautoryzowanym złamaniem uwierzytelniania.
- CVE-2026-49769Krytyczne
W wpForo Forum w wersjach do 3.1.0 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-40798Krytyczne
W wpForo Forum w wersjach do 3.0.4 występuje podatność na nieautoryzowaną iniekcję SQL.
- CVE-2026-42682Krytyczne
Wtyczka wpForo Forum dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-93747Średnie
Wtyczka wpForo Forum dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole profilu 'telegram' w wersjach do 3.1.6 włącznie. Surowa tablica $_POST['data'] jest kopiowana do zmiennej $custom_fields przed uruchomieniem funkcji validate() i sanitize(), które działają tylko na równoległej referencji $user, przez co dane są zapisywane bez sanityzacji.
- CVE-2026-93772Średnie
Podatność Cross Site Scripting (XSS) w wtyczce wpForo Forum w wersjach do 3.1.5 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Subscriber.
- CVE-2026-91092Średnie
Wtyczka wpForo Forum dla WordPressa w wersjach do 3.1.5 włącznie jest podatna na obejście autoryzacji z powodu braku weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może przejąć post gościa i zmodyfikować jego tytuł, treść, nazwę autora oraz zapisany adres e-mail.
- CVE-2026-5097Wysokie
Wtyczka wpForo Forum dla WordPressa do wersji 2.4.17 włącznie jest podatna na SQL Injection przez parametr 'referer'. Brak odpowiedniego escapowania i przygotowania zapytań SQL pozwala niezautoryzowanym atakującym na dołączanie dodatkowych zapytań, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
- CVE-2026-12698Średnie
Wtyczka wpForo Forum dla WordPressa przed wersją 3.1.3 nie ogranicza, które pola profilu może ustawić członek podczas edycji własnego konta. Umożliwia to użytkownikom z kontem na poziomie subskrybenta zapisywanie pól stanu konta i reputacji kontrolowanych przez administratora na własnym profilu, w tym samodzielną aktywację konta oczekującego lub zbanowanego oraz fałszowanie wyniku reputacji na forum.
- CVE-2026-12696Średnie
Wtyczka wpForo Forum do WordPressa przed wersją 3.1.2 nie oczyszcza i nie koduje pola profilu użytkownika przed wyświetleniem go w atrybucie HTML na publicznej stronie profilu, co pozwala użytkownikom z kontem subskrybenta na wstrzyknięcie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego profil, w tym zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The wpForo Forum plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'location' Profile Field in all versions up to, and including, 3.1.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The sanitize_text_field() function applied at input does not encode double quotes, allowing attribute breakout via a payload that escapes the href attribute context and injects event handler attributes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS