CVE-2026-19857
ŚrednieCVSS 4.8Streszczenie
Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie zapobiega przedostawaniu się wartości pochodzących z żądania do parsera shortcode'ów WordPressa, gdy podstawia obsługiwany token do niestandardowego HTML formularza. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów z atrybutami wybranymi przez atakującego po stronie serwera na każdej stronie wyświetlającej dotknięty formularz.
Ocena ryzyka
Atakujący może wykonać dowolne shortcode'y na serwerze, co może prowadzić do nieautoryzowanego dostępu do danych, modyfikacji treści lub innych szkodliwych działań w kontekście witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę Formidable Forms do wersji 6.35 lub nowszej, aby wyeliminować podatność.
Inne podatności w Formidable Forms
Zobacz wszystkie- CVE-2026-85641Nieznane
Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.
- CVE-2026-18331Wysokie
Wtyczka Formidable Forms dla WordPressa jest podatna na przechowywany XSS przez parametr 'frm_user_id' we wszystkich wersjach do 6.33.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie użytkownika. Poprzez sfałszowanie frm_user_id na identyfikator administratora, atakujący może spowodować, że tylko wp_kses_post() będzie filtrem, a skrypt wykona się automatycznie.
- CVE-2026-11361Średnie
Wtyczka Formidable Forms dla WordPressa przed wersją 6.32.1 nieprawidłowo weryfikuje status płatności subskrypcji PayPal przed oznaczeniem jej jako zakończonej. Umożliwia to nieuwierzytelnionym użytkownikom ominięcie płatności i wyzwolenie płatnych akcji formularza — takich jak dostęp do treści cyfrowych, dostarczenie licencji i aktywacja członkostwa — bez obciążania ich.
Oryginalny opis (angielski, źródło NVD)
The Formidable Forms WordPress plugin before 6.35 does not prevent a request-derived value from reaching the WordPress shortcode parser when it substitutes a supported token into a form's custom HTML, allowing unauthenticated visitors to have arbitrary shortcodes, with attacker-chosen attributes, executed server-side on any page displaying an affected form.