Podatności WPForms
5 znanych podatności CVE w WPForms, przetłumaczonych i ocenionych.
- CVE-2026-15782Średnie
Wtyczka WPForms dla WordPress do wersji 2.0.0.1 ma podatność Stored XSS przez atrybut data-sitekey integracji OptinMonster. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzyknąć skrypty, które wykonają się przy wyświetleniu strony.
- CVE-2026-12127Średnie
Wtyczka WPForms dla WordPressa do wersji 1.10.2 włącznie jest podatna na wstrzykiwanie nagłówków e-mail przez CRLF Injection. Błąd wynika z nieprawidłowego przetwarzania nazwy wyświetlanej Reply-To, co pozwala nieuwierzytelnionym atakującym na dodanie dowolnych nagłówków, takich jak Bcc, do wychodzących wiadomości powiadomień.
- CVE-2026-48835Wysokie
W wersjach WPForms <= 1.10.0.4 występuje problem z nieautoryzowanym dostępem do formularza kontaktowego, co prowadzi do naruszenia kontroli dostępu.
- CVE-2026-4986Średnie
Wtyczka WPForms dla WordPressa przed wersją 1.10.0.5 nie weryfikuje autentyczności przychodzących zdarzeń webhook PayPal przed ich przetworzeniem, co pozwala nieuwierzytelnionym atakującym na fałszowanie ładunków webhook i manipulowanie stanem płatności dowolnych transakcji.
- CVE-2026-7792Średnie
Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.