CVE-2026-86832
NieznaneStreszczenie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dane osobowe osób wysyłających formularze, co narusza prywatność i może prowadzić do kradzieży tożsamości.
Rekomendacja
Zaktualizuj wtyczkę MetForm do wersji 4.3.1 lub nowszej, aby zapewnić odpowiednie ograniczenie dostępu do danych formularzy przez REST API.
Inne podatności w MetForm
Zobacz wszystkie- CVE-2026-86834Nieznane
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.
- CVE-2026-103339Średnie
Wtyczka Metform ma podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 4.3.0 włącznie.
- CVE-2026-18100Średnie
Wtyczka MetForm dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 4.1.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Payload omija filtr wp_kses_post, ponieważ nie zawiera tagów HTML, a transformacja str_replace w MetForm zapewnia dodatkową ścieżkę dostarczenia.
Oryginalny opis (angielski, źródło NVD)
The MetForm WordPress plugin before 4.3.1 does not properly restrict access to form submission data, allowing unauthenticated attackers to view submitter information through the REST API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS