CVE-2026-84259

WysokieCVSS 8.8

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Ocena ryzyka

Atakujący może wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do przejęcia sesji, kradzieży danych lub modyfikacji treści strony.

Rekomendacja

Zaktualizuj wtyczkę click5 CRM do WPForms do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz dostęp do panelu administracyjnego i stosuj zasady najmniejszych uprawnień.

Inne podatności w click5 CRM add-on to WPForms

CVE-2026-84252Krytyczne
Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.

Oryginalny opis (angielski, źródło NVD)

The click5 CRM add-on to WPForms WordPress plugin through 1.0.3 does not sanitise and escape content submitted through an unauthenticated endpoint before outputting it back in an admin page, leading to Stored XSS which could be used against high privilege users such as admin.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS