CVE-2026-28140
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniona podatność Broken Access Control w wtyczce JetFormBuilder w wersjach do 3.6.4.1 włącznie. Pozwala nieautoryzowanym użytkownikom na dostęp do funkcji, do których nie powinni mieć uprawnień.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do danych formularzy, modyfikacji ustawień lub wykonywania operacji bez odpowiednich uprawnień.
Rekomendacja
Zaktualizuj wtyczkę JetFormBuilder do najnowszej wersji, która naprawia problem z kontrolą dostępu.
Inne podatności w JetFormBuilder
Zobacz wszystkie- CVE-2026-54196Średnie
Wersje JetFormBuilder do 3.6.1 zawierają podatność umożliwiającą eskalację uprawnień subskrybenta.
- CVE-2026-54195Wysokie
W wersjach JetFormBuilder <= 3.6.0.1 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-13459Średnie
Wtyczka JetFormBuilder dla WordPressa do wersji 3.6.3 zawiera lukę w autoryzacji, umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych wartości z meta postów, w tym danych osobowych WooCommerce, sum zamówień, ścieżek załączników oraz tokenów innych wtyczek. Wykorzystanie wymaga istnienia na stronie przynajmniej jednego opublikowanego formularza z polem generatora get_from_db.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in JetFormBuilder <= 3.6.4.1 versions.