CVE-2026-86834
NieznaneStreszczenie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać wrażliwe dane, takie jak identyfikatory korelacji i ciasteczka, co może prowadzić do naruszenia prywatności lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę MetForm do wersji 4.3.1 lub nowszej, aby zapewnić odpowiednie ograniczenie dostępu do pliku debugowania.
Inne podatności w MetForm
Zobacz wszystkie- CVE-2026-86832Nieznane
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.
- CVE-2026-103339Średnie
Wtyczka Metform ma podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 4.3.0 włącznie.
- CVE-2026-18100Średnie
Wtyczka MetForm dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 4.1.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Payload omija filtr wp_kses_post, ponieważ nie zawiera tagów HTML, a transformacja str_replace w MetForm zapewnia dodatkową ścieżkę dostarczenia.
Oryginalny opis (angielski, źródło NVD)
The MetForm WordPress plugin before 4.3.1 does not properly restrict access to a debug file it writes to the web root on every form submission when its HubSpot Forms integration is enabled, allowing unauthenticated attackers to read upstream API response data, including correlation identifiers and cookies.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS