CVE-2026-15239

ŚrednieCVSS 5.3

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka Simple CAPTCHA with Cloudflare Turnstile dla WordPressa przed wersją 1.42.0 nie wiąże swojej pamięci podręcznej walidacji Turnstile z jednorazowym tokenem wyzwania w integracji z Forminator, zamiast tego kluczuje ją do kontrolowanej przez atakującego, wielokrotnego użytku wartości żądania. Pozwala to nieuwierzytelnionym atakującym rozwiązać jedno wyzwanie, a następnie odtwarzać zgłoszenia bez tokena przez krótki czas, obchodząc ochronę przed nadużyciami.

Ocena ryzyka

Atakujący może obejść mechanizm CAPTCHA, co umożliwia automatyzację wysyłania formularzy, spam lub ataki typu brute-force. Może to prowadzić do przeciążenia serwera lub naruszenia integralności danych.

Rekomendacja

Zaktualizuj wtyczkę Simple CAPTCHA with Cloudflare Turnstile do wersji 1.42.0 lub nowszej. Sprawdź, czy integracja z Forminator jest poprawnie skonfigurowana.

Inne podatności w Simple CAPTCHA with Cloudflare Turnstile

CVE-2026-93900Średnie
Wtyczka Simple CAPTCHA with Cloudflare Turnstile dla WordPressa (wersje do 1.44.3 włącznie) jest podatna na przechowywany cross-site scripting poprzez atrybut 'id' shortcode'u [gravity-simple-turnstile]. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w funkcji cfturnstile_gravity_shortcode(): wartość jest filtrowana tylko przez esc_html() i sanitize_text_field() (żadna z nich nie usuwa nawiasów ani kropek), a następnie emitowana przez esc_js() w kontekście surowego wyrażenia JavaScript poza literałem ciągu. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Oryginalny opis (angielski, źródło NVD)

The Simple CAPTCHA with Cloudflare Turnstile WordPress plugin before 1.42.0 does not bind its Turnstile validation cache to the single-use challenge token in its Forminator integration, instead keying it to an attacker-controlled, reusable request value, allowing unauthenticated attackers to solve one challenge and then replay token-less form submissions for a short window, defeating the anti-abuse protection the plugin provides.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS