CVE-2026-18946
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Contact Form to Any API przed wersją 3.0.7 nie używa losowej nazwy pliku podczas kopiowania plików przesłanych przez formularze kontaktowe do publicznie dostępnego katalogu, co pozwala nieuwierzytelnionym atakującym na enumerację i pobieranie plików przesłanych przez innych użytkowników.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików przesłanych przez innych użytkowników, co może prowadzić do ujawnienia poufnych informacji.
Rekomendacja
Zaktualizuj wtyczkę do wersji 3.0.7 lub nowszej.
Inne podatności w Contact Form to Any API
Zobacz wszystkie- CVE-2026-15735Średnie
Wtyczka Contact Form to Any API dla WordPressa jest podatna na trwałe ataki XSS poprzez pole meta 'cf7anyapi_form_field' we wszystkich wersjach do 3.0.6 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia.
- CVE-2026-39449Wysokie
W wersjach Contact Form to Any API <= 3.0.3 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Oryginalny opis (angielski, źródło NVD)
The Contact Form to Any API WordPress plugin before 3.0.7 does not use a random filename when copying files uploaded through contact forms into a publicly accessible directory, allowing unauthenticated attackers to enumerate and download files submitted by other users.