CVE-2026-15288
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka SureForms dla WordPressa do wersji 2.2.1 włącznie zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych. Funkcje 'create_payment_intent' i 'create_subscription_intent' akceptują kwotę płatności bezpośrednio z danych POST bez weryfikacji z ceną formularza, co pozwala nieuwierzytelnionym atakującym na modyfikację kwoty płatności.
Ocena ryzyka
Organizacja narażona jest na straty finansowe, ponieważ atakujący mogą kupować produkty lub usługi po znacznie zaniżonych cenach, manipulując kwotą płatności w formularzach Stripe.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę SureForms do najnowszej dostępnej wersji, która zawiera poprawkę walidacji kwoty płatności.
Inne podatności w SureForms
Zobacz wszystkie- CVE-2026-19500Wysokie
Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.
- CVE-2026-7623Średnie
Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-11567Średnie
Wtyczka SureForms dla WordPress przed wersją 2.11.1 nieprawidłowo waliduje kwotę płatności w formularzach korzystających z dynamicznie pobieranej (zmiennej/ukrytej) kwoty, co pozwala nieuwierzytelnionym użytkownikom na niedopłacenie za skonfigurowany produkt lub subskrypcję. Formularze ze stałą, skonfigurowaną ceną nie są podatne.
Oryginalny opis (angielski, źródło NVD)
The SureForms – Drag and Drop Form Builder for WordPress plugin for WordPress is vulnerable to Improper Input Validation in all versions up to, and including, 2.2.1. This is due to the plugin accepting the payment amount directly from user-controlled POST data in the 'create_payment_intent' and 'create_subscription_intent' functions without validating it against the form's configured price. This makes it possible for unauthenticated attackers to modify the payment amount to any arbitrary value when submitting a Stripe payment form, potentially purchasing products or services at significantly reduced prices.