CVE-2026-85123
NieznaneStreszczenie
Wtyczka Easy Form Builder by WhiteStudio dla WordPressa przed wersją 4.2.0 nie weryfikuje przesłanej wartości względem zapisanej konfiguracji dla niektórych typów formularzy, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont WordPress na stronie, której właściciel wyłączył rejestrację.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego tworzenia kont, co może prowadzić do przejęcia kontroli nad treściami lub eskalacji uprawnień, jeśli utworzone konta mają dodatkowe role.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 4.2.0 lub nowszej oraz weryfikację, czy nie utworzono nieautoryzowanych kont.
Inne podatności w Easy Form Builder by WhiteStudio
Zobacz wszystkie- CVE-2026-85122Nieznane
Wtyczka Easy Form Builder by WhiteStudio dla WordPressa przed wersją 4.2.0 nie weryfikuje przesłanej wartości względem zapisanej konfiguracji dla niektórych typów formularzy, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnej treści, która jest następnie renderowana bez escapowania na stronie administracyjnej, prowadząc do Stored XSS.
- CVE-2026-13439Krytyczne
Wtyczka Easy Form Builder by WhiteStudio dla WordPressa do wersji 4.0.11 włącznie zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu eskalację uprawnień do administratora. Podatność wynika z użycia publicznie widocznego identyfikatora sesji ('sid') jako tokena resetowania hasła oraz publicznie dostępnego punktu końcowego odświeżania nonce, co pozwala na zresetowanie hasła dowolnego użytkownika WordPressa.
Oryginalny opis (angielski, źródło NVD)
The Easy Form Builder by WhiteStudio WordPress plugin before 4.2.0 does not validate a submitted value against the stored configuration for some of its form types, allowing unauthenticated users to create WordPress accounts on a site whose owner has disabled registration.