CVE-2026-18331
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Formidable Forms dla WordPressa jest podatna na przechowywany XSS przez parametr 'frm_user_id' we wszystkich wersjach do 6.33.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie użytkownika. Poprzez sfałszowanie frm_user_id na identyfikator administratora, atakujący może spowodować, że tylko wp_kses_post() będzie filtrem, a skrypt wykona się automatycznie.
Ocena ryzyka
Atakujący może wykonać złośliwe skrypty w kontekście administratora, co może prowadzić do przejęcia konta administratora i pełnej kompromitacji witryny.
Rekomendacja
Należy zaktualizować Formidable Forms do najnowszej wersji oraz rozważyć ograniczenie dostępu do REST API, jeśli to możliwe.
Inne podatności w Formidable Forms
Zobacz wszystkie- CVE-2026-89435Wysokie
Wtyczka Formidable Forms dla WordPressa w wersjach do 6.35 włącznie jest podatna na instalację dowolnych wtyczek poprzez parametr 'file_url'. Wynika to z niewystarczającej walidacji prefiksu URL w validate_url_is_in_s3_bucket() oraz callbacku uprawnień opierającego się wyłącznie na wspólnym tokenie dostępnym dla użytkowników z uprawnieniem frm_view_forms, bez sprawdzania install_plugins lub activate_plugins. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może zainstalować dowolne wtyczki na serwerze, o ile witryna korzysta tylko z darmowej wersji (Formidable Pro nie jest zainstalowane).
- CVE-2026-19857Średnie
Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie zapobiega przedostawaniu się wartości pochodzących z żądania do parsera shortcode'ów WordPressa, gdy podstawia obsługiwany token do niestandardowego HTML formularza. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów z atrybutami wybranymi przez atakującego po stronie serwera na każdej stronie wyświetlającej dotknięty formularz.
- CVE-2026-85641Średnie
Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.
- CVE-2026-11361Średnie
Wtyczka Formidable Forms dla WordPressa przed wersją 6.32.1 nieprawidłowo weryfikuje status płatności subskrypcji PayPal przed oznaczeniem jej jako zakończonej. Umożliwia to nieuwierzytelnionym użytkownikom ominięcie płatności i wyzwolenie płatnych akcji formularza — takich jak dostęp do treści cyfrowych, dostarczenie licencji i aktywacja członkostwa — bez obciążania ich.
Oryginalny opis (angielski, źródło NVD)
The Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'frm_user_id' parameter in all versions up to, and including, 6.33.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. By forging frm_user_id to match an administrator's user ID — discoverable via the public WordPress REST API — an unauthenticated attacker causes wp_kses_post() to serve as the only output filter, which preserves the injected payload structurally intact; the plugin's admin JavaScript then decodes and executes it automatically on page load.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS