CVE-2026-84744

ŚrednieCVSS 6.5

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka WPForms Lite dla WordPress w wersjach od 1.5.0.1 do 2.0.2 nie usuwa delimiterów shortcode'ów z wartości pól przesłanych przez użytkownika przed zapisaniem ich z powrotem do renderowanego formularza. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie oraz odczyt szczegółów załączników należących do niepublicznych wpisów.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, co może prowadzić do wycieku informacji z niepublicznych wpisów i załączników. Podatność nie wymaga logowania i może być wykorzystana zdalnie.

Rekomendacja

Zaktualizuj wtyczkę WPForms Lite do wersji nowszej niż 2.0.2, jeśli producent wydał poprawkę. Rozważ ograniczenie rejestrowanych shortcode'ów i audyt niepublicznych treści.

Inne podatności w WPForms Lite WordPress plugin

CVE-2026-82844Średnie
Wtyczka WPForms Lite dla WordPressa przed wersją 2.0.2.2 nie weryfikuje po stronie serwera, czy płatność została zakończona przed przyjęciem zgłoszenia w formularzach korzystających z bramki PayPal Commerce. Umożliwia to nieuwierzytelnionym odwiedzającym wysyłanie płatnych formularzy bez płacenia, a potwierdzenie i e-maile powiadamiające są wysyłane mimo braku zamówienia u dostawcy płatności.

Oryginalny opis (angielski, źródło NVD)

The WPForms Lite WordPress plugin from 1.5.0.1 to 2.0.2 does not remove shortcode delimiters from submitted field values before writing them back into the rendered form, allowing unauthenticated users to execute arbitrary shortcodes registered on the site and read the details of attachments belonging to non-public posts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS