CVE-2026-107622
KrytyczneCVSS 9.8Streszczenie
Wtyczka BuddyForms dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 2.10.5 włącznie poprzez atak mylenia typu formularza przez parametr bf_post_type. Nieuwierzytelniony atakujący może wstawić złośliwą konfigurację formularza z kontrolowaną wartością new_user_role do globalnego rejestru formularzy, a następnie zarejestrować konto z uprawnieniami administratora. Wymaga to włączonej opcji "Każdy może się zarejestrować" i co najmniej jednego publicznego formularza BuddyForms.
Ocena ryzyka
Możliwe pełne przejęcie witryny poprzez utworzenie konta administratora przez nieuwierzytelnionego atakującego. Krytyczne ryzyko dla integralności i poufności.
Rekomendacja
Zaktualizować wtyczkę do wersji nowszej niż 2.10.5 lub ją wyłączyć. Wyłączyć publiczną rejestrację, jeśli nie jest wymagana.
Inne podatności w BuddyForms
Zobacz wszystkie- CVE-2026-107658Średnie
Wtyczka BuddyForms dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'bf_post_type (and buddyforms_form_content)' we wszystkich wersjach do 2.10.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga istnienia co najmniej jednego formularza BuddyForms z włączonymi publicznymi zgłoszeniami (aby można było pobrać wymagany nonce ze strony publicznego formularza) oraz aby aktywny motyw rejestrował widgetyzowany pasek boczny, umożliwiając wstrzykniętemu customize_changeset umieszczenie złośliwego widgetu Custom HTML w interfejsie witryny.
- CVE-2026-81785Średnie
Wtyczka BuddyForms w wersjach do 2.9.0 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu pozwala na wykonanie operacji, do których użytkownik nie powinien mieć uprawnień.
- CVE-2026-118437Niskie
Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.
- CVE-2026-118101Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.
- CVE-2026-118100Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.
- CVE-2025-62973Średnie
BuddyForms (wtyczka Themekraft) do wersji 2.10.2 zawiera podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Atakujący może wykorzystać to do nieautoryzowanych operacji.
- CVE-2025-32151Wysokie
Wtyczka BuddyForms (wersje do 2.10.2) zawiera podatność PHP Local File Inclusion z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require.
Oryginalny opis (angielski, źródło NVD)
The BuddyForms plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 2.10.5 via a form-type confusion attack through the `bf_post_type` parameter. This is due to the public frontend submission handler `buddyforms_form_response_no_ajax()` authorizing logged-out submissions based solely on the target form's `public_submit` flag while independently trusting the attacker-supplied `$_POST['bf_post_type']` to determine the post type of the newly created object — a cross-check introduced in 2.10.2 applies only to existing posts (`post_id != 0`) and is completely bypassed for new-object creation — combined with the `save_post` listener `buddyforms_edit_form_save_meta_box_data()` lacking both a `current_user_can()` capability check and a form-builder nonce, causing it to unconditionally persist attacker-supplied `$_POST['buddyforms_options']` for any newly inserted `buddyforms` CPT post. This makes it possible for unauthenticated attackers to insert a rogue BuddyForms form configuration with an attacker-controlled `new_user_role` value into the live global form registry, then submit a registration through that form to create a new WordPress account with administrator-level privileges and achieve full site takeover. Exploitation requires the WordPress site to have "Anyone can register" enabled and at least one public BuddyForms form attached to a page, both of which are standard BuddyForms deployment configurations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS