CVE-2026-96574
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka User Frontend dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'wpuf_payment_method' we wszystkich wersjach do 4.3.12 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Technika obejścia polega na dodaniu prawidłowego słowa kluczowego bramki, takiego jak 'bank', do ładunku HTML, co powoduje, że funkcja sanitize_text_field() zwraca tylko słowo kluczowe do celów routingu, podczas gdy pełna złośliwa wartość jest przechowywana i później renderowana bez escapowania.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkowników, prowadząc do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania. Nawet konta o niskich uprawnieniach mogą być wykorzystane do ataku.
Rekomendacja
Zaleca się aktualizację wtyczki User Frontend do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia kont subskrybentów i regularnie przeglądać treści publikowane przez użytkowników pod kątem podejrzanych skryptów.
Inne podatności w User Frontend
Zobacz wszystkie- CVE-2026-5459Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.
- CVE-2026-17563Średnie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie egzekwuje wymogu zakupu subskrypcji podczas przetwarzania zgłoszeń z frontendu, tylko podczas renderowania formularza, co pozwala nieuwierzytelnionym użytkownikom tworzyć i, w zależności od konfiguracji formularza, natychmiast publikować posty przez formularze przeznaczone dla płacących subskrybentów.
- CVE-2026-19116Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie zapobiega deserializacji wartości pól dostarczonych przez użytkownika, gdy przesłany post jest ponownie otwierany w formularzu edycji front-end. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na przeprowadzenie PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, jeśli na stronie znajduje się odpowiedni łańcuch gadżetów.
- CVE-2026-14558Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.10 nieprawidłowo waliduje definicje typów pól i deserializuje kontrolowane przez użytkownika metadane postów podczas renderowania przesłanych wpisów. Użytkownicy z dostępem na poziomie edytora i wyższym mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, gdy na stronie istnieje odpowiedni łańcuch POP.
- CVE-2026-12418Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'wpuf_files_data'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym nadpisanie tytułu, treści i streszczenia dowolnego wpisu na stronie, w tym wpisów administratorów.
- CVE-2026-12406Średnie
Wtyczka User Frontend dla WordPress w wersjach do 4.3.7 zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą usuwać dowolne załączniki multimedialne, których autor ma ID 0, wykorzystując akcję AJAX wpuf_file_del.
Oryginalny opis (angielski, źródło NVD)
The User Frontend – Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'wpuf_payment_method' parameter in all versions up to, and including, 4.3.12 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The bypass technique involves appending a valid gateway keyword such as 'bank' to the HTML payload, causing sanitize_text_field() to yield only the keyword for routing purposes while the full malicious raw value is stored and later rendered unescaped.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS