CVE-2026-15782
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WPForms dla WordPress do wersji 2.0.0.1 ma podatność Stored XSS przez atrybut data-sitekey integracji OptinMonster. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzyknąć skrypty, które wykonają się przy wyświetleniu strony.
Ocena ryzyka
Atakujący może wykraść sesje administratorów i innych użytkowników, modyfikować treść stron i wykonywać nieautoryzowane akcje w WordPress.
Rekomendacja
Zaktualizuj WPForms do najnowszej wersji. Usuń lub wyłącz integrację OptinMonster, jeśli nie jest niezbędna.
Inne podatności w WPForms
Zobacz wszystkie- CVE-2026-12127Średnie
Wtyczka WPForms dla WordPressa do wersji 1.10.2 włącznie jest podatna na wstrzykiwanie nagłówków e-mail przez CRLF Injection. Błąd wynika z nieprawidłowego przetwarzania nazwy wyświetlanej Reply-To, co pozwala nieuwierzytelnionym atakującym na dodanie dowolnych nagłówków, takich jak Bcc, do wychodzących wiadomości powiadomień.
- CVE-2026-48835Wysokie
W wersjach WPForms <= 1.10.0.4 występuje problem z nieautoryzowanym dostępem do formularza kontaktowego, co prowadzi do naruszenia kontroli dostępu.
- CVE-2026-4986Średnie
Wtyczka WPForms dla WordPressa przed wersją 1.10.0.5 nie weryfikuje autentyczności przychodzących zdarzeń webhook PayPal przed ich przetworzeniem, co pozwala nieuwierzytelnionym atakującym na fałszowanie ładunków webhook i manipulowanie stanem płatności dowolnych transakcji.
- CVE-2026-7792Średnie
Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.
Oryginalny opis (angielski, źródło NVD)
The WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More plugin for WordPress is vulnerable to Stored Cross-Site Scripting via OptinMonster Integration data-sitekey Attribute in Post Content in all versions up to, and including, 2.0.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the OptinMonster plugin to be installed and configured with an active inline campaign that outputs matching #om-{id} markup on the target page, as the WPForms handler only fires when OptinMonster emits its 'om.Campaign.load' event.