CVE-2026-16587
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Form Integration dla WordPressa do wersji 2.6.0 włącznie nieprawidłowo weryfikuje uprawnienia użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą nadpisać przechowywane tokeny OAuth MailUp w opcji adfoin_mailup_keys, przejmując kontrolę nad przesyłaniem danych formularzy do konta MailUp atakującego lub całkowicie przerywając integrację.
Ocena ryzyka
Atakujący może przechwycić dane przesyłane przez formularze kontaktowe i inne formularze, co prowadzi do kradzieży danych klientów i naruszenia prywatności.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Advanced Form Integration do najnowszej wersji, która naprawia problem weryfikacji uprawnień.
Inne podatności w Advanced Form Integration
Zobacz wszystkie- CVE-2026-11794Wysokie
Wtyczka Advanced Form Integration dla WordPress przed wersją 2.1.1 nie ogranicza roli WordPress przypisywanej podczas tworzenia użytkownika z publicznego formularza. Umożliwia to niezalogowanym odwiedzającym utworzenie konta administratora, jeśli aktywna integracja mapuje rolę użytkownika na publiczne pole formularza, co wymaga specyficznej, niestandardowej konfiguracji.
- CVE-2026-42659Średnie
Wersje Advanced Form Integration do 1.126.12 mają lukę w kontroli dostępu, która może pozwolić subskrybentom na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Advanced Form Integration — Connect Forms to 200+ Apps plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.6.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to overwrite the site's stored MailUp OAuth tokens in the adfoin_mailup_keys option with attacker-controlled tokens, hijacking future form-submission data to a MailUp account they control or nulling the tokens to break the integration entirely. This is exploitable by any authenticated user who can reach /wp-admin/profile.php, as admin_init fires for all logged-in users visiting any wp-admin page.