CVE-2026-88996
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'page_title' oraz Smart Tag {page_title} w wersjach do 2.0.2 włącznie z powodu niewystarczającej sanityzacji i escapowania. Luka jest wykorzystywana tylko w formularzach, których komunikat potwierdzenia umieszcza Smart Tag {page_title} w kontekście atrybutu HTML.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, gdy użytkownik kliknie specjalnie spreparowany link.
Rekomendacja
Zaktualizuj wtyczkę WPForms do wersji nowszej niż 2.0.2 oraz przejrzyj komunikaty potwierdzenia formularzy pod kątem użycia Smart Tagów w atrybutach HTML.
Inne podatności w WPForms
Zobacz wszystkie- CVE-2026-15782Średnie
Wtyczka WPForms dla WordPress do wersji 2.0.0.1 ma podatność Stored XSS przez atrybut data-sitekey integracji OptinMonster. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzyknąć skrypty, które wykonają się przy wyświetleniu strony.
- CVE-2026-12127Średnie
Wtyczka WPForms dla WordPressa do wersji 1.10.2 włącznie jest podatna na wstrzykiwanie nagłówków e-mail przez CRLF Injection. Błąd wynika z nieprawidłowego przetwarzania nazwy wyświetlanej Reply-To, co pozwala nieuwierzytelnionym atakującym na dodanie dowolnych nagłówków, takich jak Bcc, do wychodzących wiadomości powiadomień.
- CVE-2026-48835Wysokie
W wersjach WPForms <= 1.10.0.4 występuje problem z nieautoryzowanym dostępem do formularza kontaktowego, co prowadzi do naruszenia kontroli dostępu.
- CVE-2026-4986Średnie
Wtyczka WPForms dla WordPressa przed wersją 1.10.0.5 nie weryfikuje autentyczności przychodzących zdarzeń webhook PayPal przed ich przetworzeniem, co pozwala nieuwierzytelnionym atakującym na fałszowanie ładunków webhook i manipulowanie stanem płatności dowolnych transakcji.
- CVE-2026-7792Średnie
Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.
Oryginalny opis (angielski, źródło NVD)
The WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via 'page_title' POST Parameter via {page_title} Smart Tag in all versions up to, and including, 2.0.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. This is only exploitable on forms whose admin-authored confirmation message places the {page_title} Smart Tag inside an HTML attribute context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS