CVE-2026-95816

WysokieCVSS 7.2

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Wtyczka Smart Forms dla WordPressa do wersji 2.6.104 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'formString', z powodu niedostatecznej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które mogą kraść dane użytkowników lub przejąć sesje, a domyślna instalacja nie wymaga uwierzytelnienia ani nonce.

Rekomendacja

Zaktualizuj wtyczkę Smart Forms do najnowszej wersji, która zawiera poprawki zabezpieczeń.

Inne podatności w Smart Forms

CVE-2026-32574Wysokie
Podatność na niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w EDGARROJAS Smart Forms smart-forms umożliwia atak DOM-Based XSS. Problem dotyczy Smart Forms: od wersji n/a do 2.6.104.

Oryginalny opis (angielski, źródło NVD)

The Smart Forms – when you need more than just a contact form plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'formString' parameter in all versions up to, and including, 2.6.104 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce check protecting the rednao_smart_forms_save_form_values AJAX handler is only enforced when the smart_forms_block_anonymous_submissions option is enabled, meaning default installations require no authentication or nonce verification whatsoever to submit and store malicious payloads.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS