CVE-2026-90984

ŚrednieCVSS 5.8

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Generate PDF using Contact Form 7 przed wersją 4.2.2 nie ogranicza miejsca docelowego pobierania obrazów przez renderer PDF na podstawie treści formularza. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie żądań do zasobów wewnętrznych i odczytanie odpowiedzi przez wygenerowany PDF.

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych zasobów serwera (SSRF) i wyciek danych poprzez wygenerowany dokument PDF.

Rekomendacja

Zaktualizuj wtyczkę do wersji 4.2.2 lub nowszej. Rozważ ograniczenie wychodzących połączeń z serwera WWW.

Inne podatności w Generate PDF using Contact Form 7

CVE-2026-94666Wysokie
Wtyczka Generate PDF using Contact Form 7 do WordPressa zawiera podatność na Path Traversal w wersjach do 4.2.1 włącznie. Umożliwia to atakującemu dostęp do plików poza katalogiem aplikacji.

Oryginalny opis (angielski, źródło NVD)

The Generate PDF using Contact Form 7 WordPress plugin before 4.2.2 does not restrict the destination of the image fetch its PDF renderer performs on submitted form content, allowing unauthenticated users to make the server request internal resources and read the response back through the generated PDF.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS