CVE-2026-39449
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W wersjach Contact Form to Any API <= 3.0.3 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Ocena ryzyka
Podatność ta może prowadzić do kradzieży danych użytkowników lub przejęcia sesji, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Contact Form to Any API, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających przed atakami XSS.
Inne podatności w Contact Form to Any API
Zobacz wszystkie- CVE-2026-18946Wysokie
Wtyczka Contact Form to Any API przed wersją 3.0.7 nie używa losowej nazwy pliku podczas kopiowania plików przesłanych przez formularze kontaktowe do publicznie dostępnego katalogu, co pozwala nieuwierzytelnionym atakującym na enumerację i pobieranie plików przesłanych przez innych użytkowników.
- CVE-2026-15735Średnie
Wtyczka Contact Form to Any API dla WordPressa jest podatna na trwałe ataki XSS poprzez pole meta 'cf7anyapi_form_field' we wszystkich wersjach do 3.0.6 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Contact Form to Any API <= 3.0.3 versions.