CVE-2026-15782
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WPForms dla WordPress do wersji 2.0.0.1 ma podatność Stored XSS przez atrybut data-sitekey integracji OptinMonster. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzyknąć skrypty, które wykonają się przy wyświetleniu strony.
Ocena ryzyka
Atakujący może wykraść sesje administratorów i innych użytkowników, modyfikować treść stron i wykonywać nieautoryzowane akcje w WordPress.
Rekomendacja
Zaktualizuj WPForms do najnowszej wersji. Usuń lub wyłącz integrację OptinMonster, jeśli nie jest niezbędna.
Inne podatności w WPForms
Zobacz wszystkie- CVE-2026-101921Średnie
Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'attacker-chosen key referenced by the smart tag' we wszystkich wersjach do 2.0.2.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-88996Średnie
Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'page_title' oraz Smart Tag {page_title} w wersjach do 2.0.2 włącznie z powodu niewystarczającej sanityzacji i escapowania. Luka jest wykorzystywana tylko w formularzach, których komunikat potwierdzenia umieszcza Smart Tag {page_title} w kontekście atrybutu HTML.
- CVE-2026-12127Średnie
Wtyczka WPForms dla WordPressa do wersji 1.10.2 włącznie jest podatna na wstrzykiwanie nagłówków e-mail przez CRLF Injection. Błąd wynika z nieprawidłowego przetwarzania nazwy wyświetlanej Reply-To, co pozwala nieuwierzytelnionym atakującym na dodanie dowolnych nagłówków, takich jak Bcc, do wychodzących wiadomości powiadomień.
- CVE-2026-48835Wysokie
W wersjach WPForms <= 1.10.0.4 występuje problem z nieautoryzowanym dostępem do formularza kontaktowego, co prowadzi do naruszenia kontroli dostępu.
- CVE-2026-4986Średnie
Wtyczka WPForms dla WordPressa przed wersją 1.10.0.5 nie weryfikuje autentyczności przychodzących zdarzeń webhook PayPal przed ich przetworzeniem, co pozwala nieuwierzytelnionym atakującym na fałszowanie ładunków webhook i manipulowanie stanem płatności dowolnych transakcji.
- CVE-2026-7792Średnie
Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.
Oryginalny opis (angielski, źródło NVD)
The WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More plugin for WordPress is vulnerable to Stored Cross-Site Scripting via OptinMonster Integration data-sitekey Attribute in Post Content in all versions up to, and including, 2.0.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the OptinMonster plugin to be installed and configured with an active inline campaign that outputs matching #om-{id} markup on the target page, as the WPForms handler only fires when OptinMonster emits its 'om.Campaign.load' event.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS