CVE-2026-78363
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka MW WP Form dla WordPressa przed wersją 5.1.5 nie zapobiega wykonywaniu shortcode'ów w wartościach wprowadzanych przez użytkownika, gdy są one scalane z wiadomością przetwarzaną później na shortcode'y. Umożliwia to nieuwierzytelnionym atakującym uruchomienie dowolnego shortcode'a zarejestrowanego na stronie. Wykorzystanie wymaga, aby strona była skonfigurowana do odesłania wprowadzonej wartości z powrotem do odwiedzającego po przesłaniu.
Ocena ryzyka
Atakujący może uruchomić dowolne shortcode'y, co może prowadzić do nieautoryzowanych działań, takich jak modyfikacja treści, kradzież danych lub eskalacja uprawnień.
Rekomendacja
Zaleca się aktualizację wtyczki MW WP Form do wersji 5.1.5 lub nowszej.
Inne podatności w MW WP Form
Zobacz wszystkie- CVE-2026-78364Niskie
Wtyczka MW WP Form dla WordPressa przed wersją 5.1.6 nie sanityzuje i nie escapuje niektórych ustawień formularzy przed ich wyświetleniem na stronie panelu administracyjnego, co może pozwolić użytkownikom z rolą co najmniej Edytora na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wyższymi uprawnieniami, takim jak administrator.
- CVE-2026-48871Wysokie
W wersjach MW WP Form <= 5.1.3 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-5436Wysokie
Podatność we wtyczce MW WP Form dla WordPressa w wersjach do 5.1.1. Niewystarczająca walidacja parametru $name pozwala nieuwierzytelnionemu atakującemu na przeniesienie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The MW WP Form WordPress plugin before 5.1.5 does not prevent shortcodes in user-submitted values from being executed when it merges those values into a message that it later processes for shortcodes, allowing unauthenticated users to run any shortcode registered on the site. Exploitation requires the site to have been configured to echo a submitted value back to the visitor after submission.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS