CVE-2026-15735
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Contact Form to Any API dla WordPressa jest podatna na trwałe ataki XSS poprzez pole meta 'cf7anyapi_form_field' we wszystkich wersjach do 3.0.6 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji oraz zastosowanie odpowiednich filtrów bezpieczeństwa dla pól meta.
Inne podatności w Contact Form to Any API
Zobacz wszystkie- CVE-2026-18946Wysokie
Wtyczka Contact Form to Any API przed wersją 3.0.7 nie używa losowej nazwy pliku podczas kopiowania plików przesłanych przez formularze kontaktowe do publicznie dostępnego katalogu, co pozwala nieuwierzytelnionym atakującym na enumerację i pobieranie plików przesłanych przez innych użytkowników.
- CVE-2026-39449Wysokie
W wersjach Contact Form to Any API <= 3.0.3 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Oryginalny opis (angielski, źródło NVD)
The Contact Form to Any API plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'cf7anyapi_form_field' Post Meta in all versions up to, and including, 3.0.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.