CVE-2026-39745

WysokieCVSS 7.1

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Podatność w wtyczce Contact Form to DB by BestWebSoft w wersjach do 1.7.6 pozwala nieuwierzytelnionemu atakującemu na wykonanie skryptów w przeglądarce ofiary (XSS).

Ocena ryzyka

Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę Contact Form to DB do najnowszej wersji, która zawiera poprawkę tej luki.

Inne podatności w Contact Form to DB by BestWebSoft

CVE-2026-13359Wysokie
Wtyczka Contact Form to DB by BestWebSoft dla WordPressa jest podatna na trwały atak XSS poprzez parametr cntctfrm_contact_dropdown we wszystkich wersjach do 1.7.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty kod wykonuje się w kontekście sesji administratora, gdy odwiedza on stronę menedżera wiadomości, co może prowadzić do przejęcia sesji administratora.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated Cross Site Scripting (XSS) in Contact Form to DB by BestWebSoft <= 1.7.6 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS