CVE-2026-19220

Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.

Wtyczka Forminator Forms dla WordPressa do wersji 1.57.0.1 włącznie jest podatna na trwały atak XSS przez pole tekstowe z edytorem Rich-Text. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie wymaga, aby pole tekstowe miało włączoną opcję edytora Rich-Text.

Wtyczka Forminator Forms dla WordPressa jest podatna na odbity XSS (DOM-Based Reflected Cross-Site Scripting) przez parametr 'error_description' we wszystkich wersjach do 1.57.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wyzwalana tylko na stronach z formularzem Forminator skonfigurowanym do korzystania z API płatności Stripe Checkout Sessions, które stało się domyślne w wersji 1.56.0.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez pole Radio Field (Save and Continue Draft) we wszystkich wersjach do 1.57.0.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana, ponieważ punkt końcowy AJAX do zapisywania szkiców jest zarejestrowany jako nopriv, co pozwala nieuwierzytelnionym atakującym ominąć walidację opcji pola radio i utrwalić spreparowany payload, który po wyrenderowaniu na stronie administracyjnej Submissions jest automatycznie wykonywany przez bibliotekę Inputmask.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.7 nie egzekwuje konsekwentnie ograniczeń ról nałożonych na formularze rejestracyjne. Użytkownicy z uprawnieniami do tworzenia formularzy mogą skonfigurować taki, który przyznaje rolę administratora każdemu odwiedzającemu, który się przez niego zarejestruje.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.

Wtyczka Forminator Forms dla WordPressa do wersji 1.55.0.2 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'draft'. Nieuwierzytelnieni atakujący mogą enumerować sekwencyjne ID wpisów i odczytywać zapisane dane formularzy innych użytkowników, w tym imiona, adresy e-mail, numery telefonów i treści wiadomości, gdy funkcja 'Save and Continue' jest włączona.

Wtyczka Forminator Forms dla WordPressa do wersji 1.56.1 jest podatna na Stored Cross-Site Scripting przez sfałszowany rekord uploadu w polu Select. Brak odpowiedniej sanitizacji i escapowania umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.