CVE-2026-87067
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Forminator Forms przed wersją 1.57.2.1 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pochodzącej z żądania XML-RPC. Umożliwia to użytkownikom posiadającym uprawnienie do zarządzania formularzami zapis dowolnego pliku i wykonanie dowolnego kodu.
Ocena ryzyka
Domyślnie uprawnienie to należy do administratora, ale witryny mogą przyznać je innym rolom, co obniża próg wykorzystania podatności i grozi pełnym przejęciem serwera.
Rekomendacja
Zaktualizuj wtyczkę Forminator Forms do wersji 1.57.2.1 lub nowszej i zweryfikuj, którym rolom przyznano uprawnienie do zarządzania formularzami.
Inne podatności w Forminator Forms WordPress plugin
Zobacz wszystkie- CVE-2026-87074Niskie
Wtyczka WordPress Forminator Forms w wersji przed 1.57.2.1 nie wiąże powiadomienia o zapisanym szkicu z odwiedzającym, który go utworzył, i pobiera zarówno adres odbiorcy, jak i link w wiadomości z żądania. Umożliwia to niezalogowanym odwiedzającym wysłanie wiadomości z konfiguracji pocztowej witryny na dowolny adres z linkiem według własnego wyboru. Token autoryzujący wysyłkę jest przekazywany anonimowemu wywołującemu przez samą wtyczkę i może być odtwarzany bez ograniczeń.
- CVE-2026-87068Średnie
Wtyczka Forminator Forms dla WordPressa w wersji przed 1.57.2.1 nie stosuje walidacji ról, którą egzekwuje w innych miejscach, gdy formularz rejestracji jest zagnieżdżony w zaimportowanym quizie. Umożliwia to użytkownikowi mogącemu importować quizy opublikowanie aktywnego, publicznie dostępnego formularza, który przyznaje dowolną rolę, w tym administratora, każdemu, kto go wyśle. Ten sam użytkownik jest odrzucany przy identycznym formularzu poprzez zwykły edytor formularzy i zwykły import formularzy.
Oryginalny opis (angielski, źródło NVD)
The Forminator Forms WordPress plugin before 1.57.2.1 does not restrict which classes may be instantiated when it deserialises a value taken from an XML-RPC request, allowing users who hold its forms-management permission to write a file of their choosing and execute arbitrary code. That permission belongs to an administrator by default, and to any role the site has granted it through the Forminator Forms WordPress plugin before 1.57.2.1's own settings, so the issue is reachable well below administrator on sites that use that feature.