CVE-2026-96326

WysokieCVSS 7.2

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka HT Contact Form – Drag & Drop Form Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole Rich Text Editor we wszystkich wersjach do 2.10.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w przeglądarce odwiedzających, co może prowadzić do kradzieży sesji, przekierowań lub przejęcia konta administratora.

Rekomendacja

Zaktualizuj wtyczkę HT Contact Form do wersji nowszej niż 2.10.2, a jeśli to niemożliwe, wyłącz pole Rich Text Editor lub całą wtyczkę do czasu wdrożenia poprawki.

Inne podatności w HT Contact Form

CVE-2026-42728Wysokie
Wtyczka HT Contact Form 7 zawiera podatność na przechowywane XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 2.8.2.

Oryginalny opis (angielski, źródło NVD)

The HT Contact Form – Drag & Drop Form Builder for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Rich Text Editor Field in all versions up to, and including, 2.10.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS