CVE-2026-15897
WysokieCVSS 8.8Streszczenie
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa (wersje do 6.3.316 włącznie) jest podatna na eskalację uprawnień. Funkcja before_email_success_msg() w dodatku Register & Login w przepływie register_login_action='update' ufa wartości user_id dostarczonej przez atakującego i przekazuje ją do wp_update_user() bez sprawdzenia właściciela lub uprawnień. Uwierzytelniony atakujący z uprawnieniami subskrybenta może utworzyć złośliwy formularz i przesłać go z user_id administratora oraz nowym hasłem/e-mailem, przejmując konto.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może przejąć dowolne konto, w tym administratora, co prowadzi do pełnego przejęcia witryny. Ryzyko jest krytyczne, ponieważ wymaga jedynie konta subskrybenta i może skutkować całkowitą kompromitacją systemu.
Rekomendacja
Zaktualizuj wtyczkę Super Forms do wersji nowszej niż 6.3.316. Natychmiast zweryfikuj konta administratorów pod kątem nieautoryzowanych zmian i rozważ tymczasowe wyłączenie dodatku Register & Login.
Inne podatności w Super Forms
Zobacz wszystkie- CVE-2026-28167Wysokie
Podatność umożliwiająca nieuwierzytelnionemu atakującemu pobranie dowolnych plików w Super Forms w wersjach do 6.3.315.
- CVE-2026-15896Krytyczne
Podatność Directory Traversal we wtyczce Super Forms – Drag & Drop Form Builder dla WordPressa we wszystkich wersjach do 6.3.316 włącznie, przez funkcję parse_request. Umożliwia nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Opcjonalne ustawienie 'file_upload_auth' domyślnie jest puste, co oznacza brak wymaganego uwierzytelnienia w domyślnej konfiguracji.
- CVE-2026-15989Krytyczne
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.3.316 włącznie. Funkcja `before_email_success_msg()` dodatku Register & Login umieszcza na białej liście klucz 'role' przesłany przez klienta i kopiuje go do tablicy danych użytkownika przekazywanej bezpośrednio do `wp_insert_user()`, bez walidacji przesłanej roli względem skonfigurowanej `register_user_role`, bez listy dozwolonych ról i bez sprawdzenia uprawnień `current_user_can()`. To umożliwia nieuwierzytelnionym atakującym zarejestrowanie nowego konta z rolą Administratora poprzez wstrzyknięcie `role=administrator` do danych przesłanych do dowolnego opublikowanego formularza rejestracyjnego Super Forms (register_login_action='register').
Oryginalny opis (angielski, źródło NVD)
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 6.3.316. This is due to the Register & Login add-on's before_email_success_msg() function, in its register_login_action='update' flow, trusting an attacker-supplied user_id value and passing it to wp_update_user() without any ownership or capability check. Because the super_save_form AJAX action also enforces no capability check, any authenticated user with Subscriber-level access and above can create the required malicious form (register_login_action='update' with register_login_user_id_update='true') and then submit it with user_id set to an administrator's ID along with a new user_pass/user_email. This makes it possible for authenticated attackers with Subscriber-level access and above to overwrite the credentials of arbitrary existing accounts — including administrators — resulting in account takeover and full site compromise.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS