CVE-2026-84258

WysokieCVSS 8.8

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Dodatek click5 CRM do Ninja Forms (do wersji 1.0.1) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Ocena ryzyka

Atakujący może wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do przejęcia sesji, kradzieży danych lub modyfikacji treści strony.

Rekomendacja

Zaktualizuj wtyczkę click5 CRM do Ninja Forms do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz dostęp do panelu administracyjnego i stosuj zasady najmniejszych uprawnień.

Inne podatności w click5 CRM add-on to Ninja Forms

CVE-2026-84251Krytyczne
Dodatek click5 CRM do Ninja Forms (do wersji 1.0.1) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.

Oryginalny opis (angielski, źródło NVD)

The click5 CRM add-on to Ninja Forms WordPress plugin through 1.0.1 does not sanitise and escape content submitted through an unauthenticated endpoint before outputting it back in an admin page, leading to Stored XSS which could be used against high privilege users such as admin.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS