CVE-2026-18409

WysokieCVSS 7.2

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 24/08/2026(UTC)Przetłumaczono: 21/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka WPForms Pro dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w polach tekstowych (Single Line Text i Paragraph Text) we wszystkich wersjach do 2.0.0.2 włącznie. Problem wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Niezautoryzowany atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Exploit wykorzystuje rozszerzenie listy dozwolonych znaczników przez plugin (wp_kses_allowed_html), które pozwala na iframe z atrybutem data-src, co umożliwia przetrwanie URI javascript: i późniejsze przekształcenie w atrybut src przez skrypt view-entry.min.js.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki WPForms Pro do wersji nowszej niż 2.0.0.2, która zawiera poprawki bezpieczeństwa.

Inne podatności w WPForms Pro

CVE-2026-10818Wysokie
Wtyczka WPForms Pro dla WordPressa w wersjach do 1.10.1.1 włącznie jest podatna na dowolne przesyłanie plików przez funkcję ajax_chunk_upload_finalize. Walidacja typu pliku następuje po zapisaniu danych na dysku, a nieudana walidacja nie usuwa złożonego pliku. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

The WPForms Pro plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Single Line Text and Paragraph Text Field Values in all versions up to, and including, 2.0.0.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit relies on the plugin's own wp_kses_allowed_html filter widening the 'post' allowlist to permit iframe elements with a data-src attribute, which is not on WordPress's URI-attribute sanitization list, allowing a javascript: URI stored in data-src to survive kses processing and subsequently be promoted to a live src attribute by the bundled admin script view-entry.min.js.