CVE-2026-3359

Nieuwierzytelniona podatność Cross Site Scripting (XSS) we wtyczce Form Maker by 10Web w wersjach do 1.15.46. Osoba atakująca bez logowania może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce ofiary.

W wersjach Form Maker od 10Web do 1.15.38 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

Wtyczka Form Maker by 10Web dla WordPressa do wersji 1.15.44 włącznie jest podatna na ślepą iniekcję SQL przez placeholder '{username}' w polu dynamicznego wyboru. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dodatkowe zapytania SQL i wyciągnąć wrażliwe dane z bazy.

Wtyczka Form Maker by 10Web przed wersją 1.15.45 nie parametryzuje poprawnie wartości kontrolowanej przez użytkownika, która jest podstawiana do dynamicznego zapytania SQL dla pola wyboru opartego na bazie danych. Pozwala to użytkownikom z rolą subskrybenta na przeprowadzanie ataków SQL injection drugiego rzędu.

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na ogólną injekcję SQL poprzez parametr 'name' we wszystkich wersjach do 1.15.43 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na ogólną injekcję SQL poprzez parametr 'groupids' we wszystkich wersjach do 1.15.43 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.