CVE-2026-96227

WysokieCVSS 8.8

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka Piotnet Forms dla WordPressa do wersji 1.0.30 nie uwierzytelnia ani nie weryfikuje żądania przesyłania plików w formularzu i zezwala na przechowywanie plików renderowalnych w przeglądarce, co pozwala nieuwierzytelnionym atakującym na przechowywanie pliku, który po otwarciu wykonuje dowolny JavaScript w obrębie witryny (Stored XSS).

Ocena ryzyka

Ryzyko obejmuje możliwość wykonania złośliwego skryptu w kontekście witryny, co może prowadzić do kradzieży danych, przejęcia sesji użytkowników lub rozprzestrzeniania złośliwego oprogramowania. Atak może być przeprowadzony bez uwierzytelnienia.

Rekomendacja

Należy zaktualizować wtyczkę Piotnet Forms do najnowszej wersji, jeśli dostępna. Należy również ograniczyć typy dozwolonych plików do bezpiecznych formatów (np. obrazy) i wdrożyć walidację po stronie serwera.

Inne podatności w Piotnet Forms

CVE-2025-57933Średnie
Wtyczka Piotnet Forms do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF), która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wszystkich wersji do 1.0.30 włącznie.

Oryginalny opis (angielski, źródło NVD)

The Piotnet Forms WordPress plugin through 1.0.30 does not authenticate or validate a form-submission file-upload request and permits browser-renderable file types to be stored, allowing unauthenticated attackers to store a file that executes arbitrary JavaScript in the site's origin when it is opened (Stored XSS).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS