CVE-2026-85122
NieznaneStreszczenie
Wtyczka Easy Form Builder by WhiteStudio dla WordPressa przed wersją 4.2.0 nie weryfikuje przesłanej wartości względem zapisanej konfiguracji dla niektórych typów formularzy, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnej treści, która jest następnie renderowana bez escapowania na stronie administracyjnej, prowadząc do Stored XSS.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w sesji administratora, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszej kompromitacji witryny.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 4.2.0 lub nowszej oraz przeskanowanie strony pod kątem podejrzanych treści.
Inne podatności w Easy Form Builder by WhiteStudio
Zobacz wszystkie- CVE-2026-85123Nieznane
Wtyczka Easy Form Builder by WhiteStudio dla WordPressa przed wersją 4.2.0 nie weryfikuje przesłanej wartości względem zapisanej konfiguracji dla niektórych typów formularzy, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont WordPress na stronie, której właściciel wyłączył rejestrację.
- CVE-2026-13439Krytyczne
Wtyczka Easy Form Builder by WhiteStudio dla WordPressa do wersji 4.0.11 włącznie zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu eskalację uprawnień do administratora. Podatność wynika z użycia publicznie widocznego identyfikatora sesji ('sid') jako tokena resetowania hasła oraz publicznie dostępnego punktu końcowego odświeżania nonce, co pozwala na zresetowanie hasła dowolnego użytkownika WordPressa.
Oryginalny opis (angielski, źródło NVD)
The Easy Form Builder by WhiteStudio WordPress plugin before 4.2.0 does not validate a submitted value against the stored configuration for some of its form types, allowing unauthenticated users to store arbitrary content which is then rendered unescaped in an admin page, leading to Stored XSS.