CVE-2026-18100
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka MetForm dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 4.1.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Payload omija filtr wp_kses_post, ponieważ nie zawiera tagów HTML, a transformacja str_replace w MetForm zapewnia dodatkową ścieżkę dostarczenia.
Ocena ryzyka
Atak XSS może prowadzić do przejęcia kont użytkowników, kradzieży danych lub modyfikacji treści strony, co może zaszkodzić reputacji organizacji.
Rekomendacja
Zaktualizuj wtyczkę MetForm do wersji nowszej niż 4.1.8 i sprawdź strony pod kątem nieautoryzowanych skryptów.
Inne podatności w MetForm
Zobacz wszystkie- CVE-2026-103339Średnie
Wtyczka Metform ma podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 4.3.0 włącznie.
- CVE-2026-114180Średnie
Wtyczka WordPress Metform (do wersji 4.3.2) zawiera podatność typu Missing Authorization wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnych ustawień autoryzacji.
- CVE-2026-86833Średnie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie filtruje ani nie koduje wartości pól formularza przed wstawieniem ich do treści HTML wiadomości e-mail, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnego kodu HTML do powiadomień e-mail wysyłanych do administratorów i nadawców.
- CVE-2026-86834Niskie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.
- CVE-2026-86832Średnie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.
Oryginalny opis (angielski, źródło NVD)
The MetForm – Contact Form, Survey, Quiz, & Custom Form Builder for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'mf_form_id' Widget Setting in all versions up to, and including, 4.1.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload bypasses Elementor's save-time wp_kses_post filter because it contains no HTML tags, and MetForm's own str_replace transformation of script tags into JavaScript template literal expressions provides an additional delivery path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS