CVE-2026-84817

Wtyczka JetFormBuilder firmy Crocoblock zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Podatność typu Stored XSS dotyczy wersji do 3.6.8 włącznie.

Wtyczka WordPress JetFormBuilder do wersji 3.6.8 zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod jest wykonywany po stronie klienta w modelu DOM przeglądarki.

Podatność braku autoryzacji w JetFormBuilder od Crocoblock pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 3.6.6 włącznie.

Wtyczka JetFormBuilder (do wersji 3.6.7.1) zawiera błąd nieprawidłowego przypisania uprawnień umożliwiający eskalację przywilejów. Użytkownik z niskimi uprawnieniami może wykonywać akcje zarezerwowane dla wyższych ról.

Wtyczka JetFormBuilder od Crocoblock w wersjach do 3.6.8 włącznie zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami, co umożliwia wstrzyknięcie kodu.

Wtyczka JetFormBuilder od Crocoblock w wersjach do 3.6.8 włącznie zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami, co umożliwia wstrzyknięcie kodu.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'note' (pole formularza zapisywane do meta posta) w wersjach do 3.6.8 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga, aby uprzywilejowany użytkownik z uprawnieniem edit_others_posts odwiedził adres URL formularza zawierający utworzony przez atakującego identyfikator posta.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa jest podatna na przechowywany XSS poprzez pole formularza mapowane na klucz metadanych posta (np. lst_cost) w wersjach do 3.6.8 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Wykorzystanie wymaga skonfigurowania publicznego formularza Insert Post zapisującego do klucza metadanych oraz pola Calculated Field, którego formuła odwołuje się do tego klucza poprzez makro %META::key%.

Wtyczka JetFormBuilder (Crocoblock) zawiera podatność Path Traversal wynikającą z niewłaściwego ograniczenia ścieżki do katalogu. Problem dotyczy wersji do 3.6.7.1 włącznie.

Wtyczka JetFormBuilder (Crocoblock) w wersjach do 3.6.7.1 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to prowadzić do wstrzyknięcia kodu w kontekście strony.