CVE-2026-87070

Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.

Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie ogranicza, które klucze metadanych może dostarczyć zgłoszenie formularza, ani nie wyklucza kluczy zarezerwowanych przez WordPressa. Dzięki temu niezalogowani użytkownicy, wysyłając publiczny formularz zbierający treść wpisu, mogą dołączyć do tworzonego wpisu dowolne metadane.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie wykonuje sprawdzenia nonce, uprawnień ani własności przed uruchomieniem jednorazowej migracji pól płatności podczas budowy jednego z ekranów administracyjnych. Ta konstrukcja ma miejsce przy każdym żądaniu wp-admin dla każdego zalogowanego użytkownika. Każdy uwierzytelniony użytkownik, w tym Subscriber bez uprawnień, może nadpisać zapisaną konfigurację pól dowolnego formularza, w tym aktywnego formularza płatności.

Wtyczka Forminator Forms dla WordPressa do wersji 1.57.0.1 włącznie jest podatna na trwały atak XSS przez pole tekstowe z edytorem Rich-Text. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie wymaga, aby pole tekstowe miało włączoną opcję edytora Rich-Text.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.1 nie weryfikuje, czy rejestracja witryn jest włączona w sieci przed utworzeniem rejestracji nowej witryny. Pozwala to nieuwierzytelnionym odwiedzającym na utworzenie nowej witryny w sieci WordPress multisite i uzyskanie na niej uprawnień administratora.

Wtyczka Forminator Forms dla WordPressa jest podatna na odbity XSS (DOM-Based Reflected Cross-Site Scripting) przez parametr 'error_description' we wszystkich wersjach do 1.57.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wyzwalana tylko na stronach z formularzem Forminator skonfigurowanym do korzystania z API płatności Stripe Checkout Sessions, które stało się domyślne w wersji 1.56.0.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez pole Radio Field (Save and Continue Draft) we wszystkich wersjach do 1.57.0.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana, ponieważ punkt końcowy AJAX do zapisywania szkiców jest zarejestrowany jako nopriv, co pozwala nieuwierzytelnionym atakującym ominąć walidację opcji pola radio i utrwalić spreparowany payload, który po wyrenderowaniu na stronie administracyjnej Submissions jest automatycznie wykonywany przez bibliotekę Inputmask.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.7 nie egzekwuje konsekwentnie ograniczeń ról nałożonych na formularze rejestracyjne. Użytkownicy z uprawnieniami do tworzenia formularzy mogą skonfigurować taki, który przyznaje rolę administratora każdemu odwiedzającemu, który się przez niego zarejestruje.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.