CVE-2026-78364
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka MW WP Form dla WordPressa przed wersją 5.1.6 nie sanityzuje i nie escapuje niektórych ustawień formularzy przed ich wyświetleniem na stronie panelu administracyjnego, co może pozwolić użytkownikom z rolą co najmniej Edytora na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wyższymi uprawnieniami, takim jak administrator.
Ocena ryzyka
Ryzyko wykonania złośliwych skryptów w kontekście administratora, co może prowadzić do przejęcia konta administratora i pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę MW WP Form do wersji 5.1.6 lub nowszej. Ogranicz uprawnienia użytkowników z rolą Edytora, jeśli to możliwe.
Inne podatności w MW WP Form
Zobacz wszystkie- CVE-2026-96567Wysokie
Wtyczka MW WP Form dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'post_id' we wszystkich wersjach do 5.1.7 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Mechanizm CSRF chroniący przesyłanie formularzy może zostać ominięty przez nieuwierzytelnionego użytkownika, który najpierw załaduje publiczną stronę formularza, aby uzyskać ważne cookie.
- CVE-2026-78363Średnie
Wtyczka MW WP Form dla WordPressa przed wersją 5.1.5 nie zapobiega wykonywaniu shortcode'ów w wartościach wprowadzanych przez użytkownika, gdy są one scalane z wiadomością przetwarzaną później na shortcode'y. Umożliwia to nieuwierzytelnionym atakującym uruchomienie dowolnego shortcode'a zarejestrowanego na stronie. Wykorzystanie wymaga, aby strona była skonfigurowana do odesłania wprowadzonej wartości z powrotem do odwiedzającego po przesłaniu.
- CVE-2026-48871Wysokie
W wersjach MW WP Form <= 5.1.3 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-5436Wysokie
Podatność we wtyczce MW WP Form dla WordPressa w wersjach do 5.1.1. Niewystarczająca walidacja parametru $name pozwala nieuwierzytelnionemu atakującemu na przeniesienie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The MW WP Form WordPress plugin before 5.1.6 does not sanitise and escape some of its form settings before outputting them back in an admin dashboard page, which could allow users with a role as low as Editor to perform Stored Cross-Site Scripting attacks against high privilege users such as admin.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS