CVE-2026-7232
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wtyczka FormCraft dla WordPress jest podatna na trwałe skrypty między witrynami (Stored XSS) we wszystkich wersjach do 3.9.14 włącznie z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe na stronach, które wykonają się przy dostępie użytkownika. Łańcuch ataku łączy lukę po stronie serwera (klucze pól macierzy, takie jak field2_0, nie są sanityzowane) z luką po stronie klienta (DOMPurify jest wywoływany tylko dla stringów, ale wartości macierzy są tablicami).
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzykiwać złośliwe skrypty, które wykonują się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki FormCraft do najnowszej dostępnej wersji, która usuwa tę podatność, oraz wdrożenie odpowiedniej sanityzacji danych wejściowych i ucieczki wyjścia.
Inne podatności w FormCraft
Oryginalny opis (angielski, źródło NVD)
The FormCraft plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the '[parameter name]' parameter in all versions up to, and including, 3.9.14 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit chain combines a server-side gap — where composite matrix sub-field keys such as field2_0 and field2_1 are never passed through the sanitization loop and are stored raw via $wpdb->insert() — with a client-side gap where DOMPurify is only invoked when typeof field.value === 'string', but matrix values arrive from the server as arrays, bypassing the check before being mapped to strings and injected into the DOM. Additionally, the same sink is reachable via a second attack vector: array-typed field values are passed through htmlentities() on submission but later reversed by html_entity_decode() at formcraft-main.php:2608 and :2122, restoring the malicious payload before storage and rendering.