CVE-2026-16587
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Form Integration dla WordPressa do wersji 2.6.0 włącznie nieprawidłowo weryfikuje uprawnienia użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą nadpisać przechowywane tokeny OAuth MailUp w opcji adfoin_mailup_keys, przejmując kontrolę nad przesyłaniem danych formularzy do konta MailUp atakującego lub całkowicie przerywając integrację.
Ocena ryzyka
Atakujący może przechwycić dane przesyłane przez formularze kontaktowe i inne formularze, co prowadzi do kradzieży danych klientów i naruszenia prywatności.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Advanced Form Integration do najnowszej wersji, która naprawia problem weryfikacji uprawnień.
Inne podatności w Advanced Form Integration
Zobacz wszystkie- CVE-2026-104797Wysokie
Wtyczka Advanced Form Integration do wersji 2.9.0 włącznie jest podatna na obejście uwierzytelniania przez niezweryfikowaną zmianę hasła. Funkcja adfoin_ultimatememberac_send_data przekazuje kontrolowane przez atakującego pole i wartość do update_profile() w kontekście 'account', które omija walidację zabronionych kluczy, bez weryfikacji tożsamości, uprawnień ani ponownego uwierzytelnienia. Umożliwia to nieuwierzytelnionym atakującym zmianę hasła dowolnego konta, w tym administratora, przez publiczny formularz Contact Form 7.
- CVE-2026-11794Wysokie
Wtyczka Advanced Form Integration dla WordPress przed wersją 2.1.1 nie ogranicza roli WordPress przypisywanej podczas tworzenia użytkownika z publicznego formularza. Umożliwia to niezalogowanym odwiedzającym utworzenie konta administratora, jeśli aktywna integracja mapuje rolę użytkownika na publiczne pole formularza, co wymaga specyficznej, niestandardowej konfiguracji.
- CVE-2026-42659Średnie
Wersje Advanced Form Integration do 1.126.12 mają lukę w kontroli dostępu, która może pozwolić subskrybentom na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Advanced Form Integration — Connect Forms to 200+ Apps plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.6.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to overwrite the site's stored MailUp OAuth tokens in the adfoin_mailup_keys option with attacker-controlled tokens, hijacking future form-submission data to a MailUp account they control or nulling the tokens to break the integration entirely. This is exploitable by any authenticated user who can reach /wp-admin/profile.php, as admin_init fires for all logged-in users visiting any wp-admin page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS