CVE-2026-57338
WysokieCVSS 7.1Streszczenie
Wtyczka ARForms w wersji 7.1.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych wrażliwych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki ARForms do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również przejrzeć konfigurację wtyczki pod kątem innych potencjalnych luk.
Inne podatności w ARForms
Zobacz wszystkie- CVE-2024-13784Krytyczne
Wtyczka ARForms dla WordPressa do wersji 1.8.5 włącznie jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych z formularzy. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, ale bez łańcucha POP w samej wtyczce nie ma to wpływu, chyba że zainstalowano inną wtyczkę lub motyw z łańcuchem POP.
- CVE-2026-12421Wysokie
Wtyczka ARforms dla WordPressa do wersji 7.2.1 włącznie jest podatna na trwałe ataki XSS przez pole hasła. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2024-54216Wysokie
Wtyczka ARForms dla WordPressa zawiera podatność na path traversal, umożliwiającą atakującemu odczyt plików poza katalogiem głównym aplikacji. Problem dotyczy wersji przed 7.0.2.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in ARForms <= 7.1.2 versions.