CVE-2026-39502

Wtyczka Form Maker by 10Web ma lukę Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') typu Stored XSS. Problem dotyczy wersji od n/a do 1.15.48.

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na atak SQL Injection poprzez parametr 'inputs' w wersjach do 1.15.42 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola długości i szerokości geograficznej znacznika na mapie we wszystkich wersjach do 1.15.47 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPress jest podatna na odbicie typu cross-site scripting (Reflected XSS) poprzez parametr bulk_action we wszystkich wersjach do 1.15.46 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Form Maker by 10Web dla WordPressa do wersji 1.15.44 włącznie jest podatna na ślepą iniekcję SQL przez placeholder '{username}' w polu dynamicznego wyboru. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dodatkowe zapytania SQL i wyciągnąć wrażliwe dane z bazy.

Wtyczka Form Maker by 10Web przed wersją 1.15.45 nie parametryzuje poprawnie wartości kontrolowanej przez użytkownika, która jest podstawiana do dynamicznego zapytania SQL dla pola wyboru opartego na bazie danych. Pozwala to użytkownikom z rolą subskrybenta na przeprowadzanie ataków SQL injection drugiego rzędu.

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na ogólną injekcję SQL poprzez parametr 'name' we wszystkich wersjach do 1.15.43 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Form Maker od 10Web, służąca do tworzenia formularzy kontaktowych w WordPressie, jest podatna na ogólną injekcję SQL poprzez parametr 'groupids' we wszystkich wersjach do 1.15.43 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka WordPress Form Maker by 10Web w wersjach przed 1.15.38 nieprawidłowo przygotowuje zapytania SQL, gdy używana jest funkcja "MySQL Mapping". Może to umożliwić ataki SQL Injection w określonych kontekstach.