CVE-2026-110253

ŚrednieCVSS 5.4

Opublikowano: 17/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka weForms dla WordPress jest podatna na ograniczone usuwanie plików multimedialnych z powodu niewystarczającej walidacji ścieżki pliku w funkcji weforms_delete_entry_attachments we wszystkich wersjach do 1.6.28 włącznie. Nieuwierzytelnieni atakujący mogą usunąć dowolne pliki multimedialne na serwerze, co wymaga od administratora trwałego usunięcia zatrutego wpisu formularza.

Ocena ryzyka

Atakujący może usunąć dowolne pliki multimedialne, co może prowadzić do utraty danych lub zakłócenia działania strony.

Rekomendacja

Zaktualizuj wtyczkę weForms do wersji nowszej niż 1.6.28, która zawiera poprawkę walidacji ścieżki pliku.

Inne podatności w weForms

CVE-2025-69028Średnie
Podatność braku autoryzacji w wtyczce BoldGrid weForms (wersje do 1.6.25 włącznie) pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć uprawnień.

Oryginalny opis (angielski, źródło NVD)

The weForms – Easy Drag & Drop Contact Form Builder For WordPress plugin for WordPress is vulnerable to limited media file deletion due to insufficient file path validation in the weforms_delete_entry_attachments function in all versions up to, and including, 1.6.28 This makes it possible for unauthenticated attackers to delete arbitrary media files on the server. This requires an administrator to permanently delete the poisoned form entry, a routine moderation action for spam-looking submissions that an attacker can prompt through social engineering.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS