CVE-2026-85235

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'postdata-1[post-custom]' we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanitizacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się przy dostępie do zainfekowanej strony. Wymagany nonce formularza jest swobodnie dostępny dla nieuwierzytelnionych użytkowników przez publiczny endpoint wp_ajax_nopriv_forminator_get_nonce, co czyni cały łańcuch ataku wykonalnym bez uwierzytelnienia.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.

Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie ogranicza, które klucze metadanych może dostarczyć zgłoszenie formularza, ani nie wyklucza kluczy zarezerwowanych przez WordPressa. Dzięki temu niezalogowani użytkownicy, wysyłając publiczny formularz zbierający treść wpisu, mogą dołączyć do tworzonego wpisu dowolne metadane.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie weryfikuje, czy żądanie pochodzi z zaufanego proxy, preferując nagłówki przekazywane przez klienta zamiast adresu połączenia. Wykorzystuje tę wartość do egzekwowania limitu głosów na odwiedzającego oraz do zapisu, kto przesłał wpis. Niezalogowani użytkownicy mogą głosować bez limitu w dowolnej ankiecie i wybierać adres zapisywany przy każdym przesłaniu.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie wykonuje sprawdzenia nonce, uprawnień ani własności przed uruchomieniem jednorazowej migracji pól płatności podczas budowy jednego z ekranów administracyjnych. Ta konstrukcja ma miejsce przy każdym żądaniu wp-admin dla każdego zalogowanego użytkownika. Każdy uwierzytelniony użytkownik, w tym Subscriber bez uprawnień, może nadpisać zapisaną konfigurację pól dowolnego formularza, w tym aktywnego formularza płatności.

Wtyczka Forminator Forms dla WordPressa do wersji 1.57.0.1 włącznie jest podatna na trwały atak XSS przez pole tekstowe z edytorem Rich-Text. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie wymaga, aby pole tekstowe miało włączoną opcję edytora Rich-Text.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.1 nie weryfikuje, czy rejestracja witryn jest włączona w sieci przed utworzeniem rejestracji nowej witryny. Pozwala to nieuwierzytelnionym odwiedzającym na utworzenie nowej witryny w sieci WordPress multisite i uzyskanie na niej uprawnień administratora.

Wtyczka Forminator Forms dla WordPressa jest podatna na odbity XSS (DOM-Based Reflected Cross-Site Scripting) przez parametr 'error_description' we wszystkich wersjach do 1.57.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wyzwalana tylko na stronach z formularzem Forminator skonfigurowanym do korzystania z API płatności Stripe Checkout Sessions, które stało się domyślne w wersji 1.56.0.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez pole Radio Field (Save and Continue Draft) we wszystkich wersjach do 1.57.0.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana, ponieważ punkt końcowy AJAX do zapisywania szkiców jest zarejestrowany jako nopriv, co pozwala nieuwierzytelnionym atakującym ominąć walidację opcji pola radio i utrwalić spreparowany payload, który po wyrenderowaniu na stronie administracyjnej Submissions jest automatycznie wykonywany przez bibliotekę Inputmask.