CVE-2026-17609
KrytyczneCVSS 9.1Streszczenie
Wtyczka Super Forms dla WordPressa do wersji 6.3.316 włącznie zawiera podatność na arbitralne usuwanie katalogów. Dzieje się tak z powodu niewystarczającej walidacji pól JSON kontrolowanych przez atakującego oraz nieskutecznej ochrony ABSPATH, którą można łatwo obejść. Nieuwierzytelniony atakujący może rekurencyjnie usuwać dowolne katalogi na serwerze, w tym katalog główny WordPressa, pod warunkiem że administrator włączył opcję usuwania plików po wysłaniu formularza.
Ocena ryzyka
Ryzyko obejmuje całkowitą utratę danych i niedostępność serwisu WordPress, co może prowadzić do poważnych zakłóceń działania organizacji. Atak nie wymaga uwierzytelnienia, co zwiększa jego niebezpieczeństwo.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Super Forms do najnowszej wersji, która usuwa tę podatność. Dodatkowo należy rozważyć wyłączenie opcji usuwania plików po wysłaniu formularza, jeśli nie jest niezbędna.
Inne podatności w Super Forms
Zobacz wszystkie- CVE-2026-28167Wysokie
Podatność umożliwiająca nieuwierzytelnionemu atakującemu pobranie dowolnych plików w Super Forms w wersjach do 6.3.315.
- CVE-2026-15896Krytyczne
Podatność Directory Traversal we wtyczce Super Forms – Drag & Drop Form Builder dla WordPressa we wszystkich wersjach do 6.3.316 włącznie, przez funkcję parse_request. Umożliwia nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Opcjonalne ustawienie 'file_upload_auth' domyślnie jest puste, co oznacza brak wymaganego uwierzytelnienia w domyślnej konfiguracji.
- CVE-2026-15989Krytyczne
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.3.316 włącznie. Funkcja `before_email_success_msg()` dodatku Register & Login umieszcza na białej liście klucz 'role' przesłany przez klienta i kopiuje go do tablicy danych użytkownika przekazywanej bezpośrednio do `wp_insert_user()`, bez walidacji przesłanej roli względem skonfigurowanej `register_user_role`, bez listy dozwolonych ról i bez sprawdzenia uprawnień `current_user_can()`. To umożliwia nieuwierzytelnionym atakującym zarejestrowanie nowego konta z rolą Administratora poprzez wstrzyknięcie `role=administrator` do danych przesłanych do dowolnego opublikowanego formularza rejestracyjnego Super Forms (register_login_action='register').
- CVE-2026-15897Wysokie
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa (wersje do 6.3.316 włącznie) jest podatna na eskalację uprawnień. Funkcja before_email_success_msg() w dodatku Register & Login w przepływie register_login_action='update' ufa wartości user_id dostarczonej przez atakującego i przekazuje ją do wp_update_user() bez sprawdzenia właściciela lub uprawnień. Uwierzytelniony atakujący z uprawnieniami subskrybenta może utworzyć złośliwy formularz i przesłać go z user_id administratora oraz nowym hasłem/e-mailem, przejmując konto.
Oryginalny opis (angielski, źródło NVD)
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Arbitrary Directory Deletion in all versions up to, and including, 6.3.316 via the submit_form function. This is due to insufficient validation of attacker-controlled JSON field declarations against the actual form schema, combined with a non-effective ABSPATH guard that dirname() trivially bypasses by stripping the trailing slash. This makes it possible for unauthenticated attackers to recursively delete arbitrary directories on the server, including the WordPress root directory. Exploitation requires that an administrator has enabled the 'Delete files from server after form submissions' setting, though this is a documented and commonly-enabled feature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS