CVE-2026-85308
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka SureForms od Brainstorm Force do wersji 2.12.5 ma podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może manipulować kluczami, aby uzyskać dostęp do chronionych zasobów, co może prowadzić do naruszenia danych lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę SureForms do najnowszej wersji. Upewnij się, że kontrola dostępu jest poprawnie skonfigurowana.
Inne podatności w SureForms
Zobacz wszystkie- CVE-2026-18406Wysokie
Wtyczka SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz dla WordPressa jest podatna na przechowywany atak XSS przez ładunek zakodowany encją w polu tekstowym we wszystkich wersjach do 2.12.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
- CVE-2026-19500Wysokie
Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.
- CVE-2026-7623Średnie
Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-11567Średnie
Wtyczka SureForms dla WordPress przed wersją 2.11.1 nieprawidłowo waliduje kwotę płatności w formularzach korzystających z dynamicznie pobieranej (zmiennej/ukrytej) kwoty, co pozwala nieuwierzytelnionym użytkownikom na niedopłacenie za skonfigurowany produkt lub subskrypcję. Formularze ze stałą, skonfigurowaną ceną nie są podatne.
- CVE-2026-15288Wysokie
Wtyczka SureForms dla WordPressa do wersji 2.2.1 włącznie zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych. Funkcje 'create_payment_intent' i 'create_subscription_intent' akceptują kwotę płatności bezpośrednio z danych POST bez weryfikacji z ceną formularza, co pozwala nieuwierzytelnionym atakującym na modyfikację kwoty płatności.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in Brainstorm Force SureForms allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects SureForms: from n/a through 2.12.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS