CVE-2025-10732
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka SureForms – Drag and Drop Form Builder dla WordPress do wersji 1.12.1 jest podatna na ujawnienie wrażliwych informacji z powodu nieprawidłowej kontroli dostępu w punkcie końcowym REST API '/wp-json/sureforms/v1/srfm-global-settings'. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą uzyskać klucze API (Google reCAPTCHA, Cloudflare Turnstile, hCaptcha), adresy e-mail administratora i ustawienia formularzy związane z bezpieczeństwem.
Ocena ryzyka
Ujawnienie kluczy API i adresów e-mail administratora może umożliwić atakującym wykorzystanie usług zewnętrznych, phishing lub dalsze ataki na infrastrukturę.
Rekomendacja
Zaktualizuj wtyczkę SureForms do wersji nowszej niż 1.12.1 lub zastosuj poprawkę, która naprawia kontrolę dostępu do punktu końcowego REST API.
Inne podatności w SureForms
Zobacz wszystkie- CVE-2026-116387Średnie
Wtyczka SureForms (do wersji 2.12.9) zawiera lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może uzyskać dostęp do funkcji lub danych wymagających wyższych uprawnień.
- CVE-2026-116402Średnie
Wtyczka SureForms (Brainstorm Force) do wersji 2.12.9 nie neutralizuje poprawnie tagów HTML powiązanych ze skryptami, co umożliwia podstawowy atak XSS i wstrzyknięcie kodu. Podatność dotyczy wersji od początku do 2.12.9.
- CVE-2026-108495Średnie
Podatność typu Stored XSS w SureForms (sureforms) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 2.12.7.
- CVE-2026-18406Wysokie
Wtyczka SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz dla WordPressa jest podatna na przechowywany atak XSS przez ładunek zakodowany encją w polu tekstowym we wszystkich wersjach do 2.12.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
- CVE-2026-85308Średnie
Wtyczka SureForms od Brainstorm Force do wersji 2.12.5 ma podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-19500Wysokie
Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.
- CVE-2026-7623Średnie
Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-11567Średnie
Wtyczka SureForms dla WordPress przed wersją 2.11.1 nieprawidłowo waliduje kwotę płatności w formularzach korzystających z dynamicznie pobieranej (zmiennej/ukrytej) kwoty, co pozwala nieuwierzytelnionym użytkownikom na niedopłacenie za skonfigurowany produkt lub subskrypcję. Formularze ze stałą, skonfigurowaną ceną nie są podatne.
- CVE-2026-15288Wysokie
Wtyczka SureForms dla WordPressa do wersji 2.2.1 włącznie zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych. Funkcje 'create_payment_intent' i 'create_subscription_intent' akceptują kwotę płatności bezpośrednio z danych POST bez weryfikacji z ceną formularza, co pozwala nieuwierzytelnionym atakującym na modyfikację kwoty płatności.
- CVE-2025-12535Średnie
Wtyczka WordPress 'SureForms' jest podatna na obejście ochrony CSRF we wszystkich wersjach do 1.13.1 włącznie. Wtyczka rozdaje ogólne nonce REST API (wp_rest) nieuwierzytelnionym użytkownikom, co pozwala na obejście ochrony CSRF na endpointach REST API opierających się wyłącznie na weryfikacji nonce.
Oryginalny opis (angielski, źródło NVD)
The SureForms – Drag and Drop Form Builder for WordPress plugin for WordPress is vulnerable to Sensitive Information Disclosure in all versions up to, and including, 1.12.1. This is due to improper access control implementation on the '/wp-json/sureforms/v1/srfm-global-settings' REST API endpoint. This makes it possible for authenticated attackers, with contributor-level access and above, to retrieve sensitive information including API keys for Google reCAPTCHA, Cloudflare Turnstile, hCaptcha, admin email addresses, and security-related form settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS