CVE-2026-94499
WysokieCVSS 7.1Streszczenie
Wtyczka FormGent w wersjach do 1.12.2 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać użytkownik z rolą Subscriber. Brak odpowiedniej kontroli dostępu pozwala na wykonanie nieautoryzowanych operacji.
Ocena ryzyka
Atakujący z niskimi uprawnieniami (Subscriber) może obejść mechanizmy kontroli dostępu i wykonać działania zarezerwowane dla uprawnionych użytkowników.
Rekomendacja
Zaktualizuj wtyczkę FormGent do wersji nowszej niż 1.12.2.
Inne podatności w FormGent
Zobacz wszystkie- CVE-2026-3141Krytyczne
Wtyczka FormGent dla WordPressa jest podatna na nieautoryzowane usuwanie plików przez brak sprawdzenia uprawnień w punkcie końcowym REST API. Nieuwierzytelnieni atakujący mogą usuwać dowolne pliki w katalogu uploads formgent, a na serwerach Linux, jeśli katalog nie istnieje, mogą ominąć ochronę przed path traversal i usunąć pliki takie jak wp-config.php.
- CVE-2025-15028Wysokie
Wtyczka FormGent – Next-Gen AI Form Builder dla WordPressa jest podatna na przechowywany atak XSS poprzez pola formularza we wszystkich wersjach do 1.9.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Access Control in FormGent <= 1.12.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS