CVE-2026-15288

Podatność typu Stored XSS w SureForms (sureforms) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 2.12.7.

Wtyczka SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz dla WordPressa jest podatna na przechowywany atak XSS przez ładunek zakodowany encją w polu tekstowym we wszystkich wersjach do 2.12.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka SureForms od Brainstorm Force do wersji 2.12.5 ma podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.

Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.

Wtyczka SureForms dla WordPress przed wersją 2.11.1 nieprawidłowo waliduje kwotę płatności w formularzach korzystających z dynamicznie pobieranej (zmiennej/ukrytej) kwoty, co pozwala nieuwierzytelnionym użytkownikom na niedopłacenie za skonfigurowany produkt lub subskrypcję. Formularze ze stałą, skonfigurowaną ceną nie są podatne.

Wtyczka SureForms dla WordPress w wersjach do 1.13.1 włącznie jest podatna na ujawnienie poufnych informacji poprzez rejestrację metadanych posta '_srfm_email_notification'. Wynika to z ustawienia parametru 'auth_callback' na '__return_true', co umożliwia nieuwierzytelniony dostęp do metadanych. Nieuwierzytelnieni atakujący mogą wyodrębnić poufne dane, w tym konfiguracje powiadomień e-mail zawierające adresy CRM/help desk, odbiorców CC/BCC oraz szablony powiadomień.

Wtyczka SureForms – Drag and Drop Form Builder dla WordPress do wersji 1.12.1 jest podatna na ujawnienie wrażliwych informacji z powodu nieprawidłowej kontroli dostępu w punkcie końcowym REST API '/wp-json/sureforms/v1/srfm-global-settings'. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą uzyskać klucze API (Google reCAPTCHA, Cloudflare Turnstile, hCaptcha), adresy e-mail administratora i ustawienia formularzy związane z bezpieczeństwem.