CVE-2026-18323
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez pole Radio Field (Save and Continue Draft) we wszystkich wersjach do 1.57.0.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana, ponieważ punkt końcowy AJAX do zapisywania szkiców jest zarejestrowany jako nopriv, co pozwala nieuwierzytelnionym atakującym ominąć walidację opcji pola radio i utrwalić spreparowany payload, który po wyrenderowaniu na stronie administracyjnej Submissions jest automatycznie wykonywany przez bibliotekę Inputmask.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą wstrzykiwać trwałe złośliwe skrypty, które wykonują się w kontekście administratora, co może prowadzić do przejęcia panelu administracyjnego i naruszenia bezpieczeństwa całej witryny.
Rekomendacja
Zaktualizuj wtyczkę Forminator Forms do wersji nowszej niż 1.57.0.2, która zawiera poprawkę, oraz ogranicz dostęp do punktów końcowych AJAX dla nieuwierzytelnionych użytkowników.
Inne podatności w Forminator Forms
Zobacz wszystkie- CVE-2026-15748Krytyczne
Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.
- CVE-2026-18324Wysokie
Wtyczka Forminator Forms dla WordPressa do wersji 1.57.0.1 włącznie jest podatna na trwały atak XSS przez pole tekstowe z edytorem Rich-Text. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie wymaga, aby pole tekstowe miało włączoną opcję edytora Rich-Text.
- CVE-2026-19220Niskie
Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.1 nie weryfikuje, czy rejestracja witryn jest włączona w sieci przed utworzeniem rejestracji nowej witryny. Pozwala to nieuwierzytelnionym odwiedzającym na utworzenie nowej witryny w sieci WordPress multisite i uzyskanie na niej uprawnień administratora.
- CVE-2026-18328Wysokie
Wtyczka Forminator Forms dla WordPressa jest podatna na odbity XSS (DOM-Based Reflected Cross-Site Scripting) przez parametr 'error_description' we wszystkich wersjach do 1.57.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wyzwalana tylko na stronach z formularzem Forminator skonfigurowanym do korzystania z API płatności Stripe Checkout Sessions, które stało się domyślne w wersji 1.56.0.
- CVE-2026-19222Średnie
Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.7 nie egzekwuje konsekwentnie ograniczeń ról nałożonych na formularze rejestracyjne. Użytkownicy z uprawnieniami do tworzenia formularzy mogą skonfigurować taki, który przyznaje rolę administratora każdemu odwiedzającemu, który się przez niego zarejestruje.
- CVE-2026-19221Wysokie
Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.
- CVE-2026-12998Średnie
Wtyczka Forminator Forms dla WordPressa do wersji 1.55.0.2 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'draft'. Nieuwierzytelnieni atakujący mogą enumerować sekwencyjne ID wpisów i odczytywać zapisane dane formularzy innych użytkowników, w tym imiona, adresy e-mail, numery telefonów i treści wiadomości, gdy funkcja 'Save and Continue' jest włączona.
- CVE-2026-18325Wysokie
Wtyczka Forminator Forms dla WordPressa do wersji 1.56.1 jest podatna na Stored Cross-Site Scripting przez sfałszowany rekord uploadu w polu Select. Brak odpowiedniej sanitizacji i escapowania umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Radio Field (Save and Continue Draft) in all versions up to, and including, 1.57.0.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable because the Save-and-Continue draft submission AJAX endpoint is registered as nopriv, allowing unauthenticated attackers to bypass radio field option-membership validation and persist a crafted payload that, when rendered on the Submissions admin page, is auto-executed via the bundled Inputmask library's data-attribute callback binding.