CVE-2026-116402

Wtyczka SureForms (do wersji 2.12.9) zawiera lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może uzyskać dostęp do funkcji lub danych wymagających wyższych uprawnień.

Podatność typu Stored XSS w SureForms (sureforms) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 2.12.7.

Wtyczka SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz dla WordPressa jest podatna na przechowywany atak XSS przez ładunek zakodowany encją w polu tekstowym we wszystkich wersjach do 2.12.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka SureForms od Brainstorm Force do wersji 2.12.5 ma podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.

Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.

Wtyczka SureForms dla WordPress przed wersją 2.11.1 nieprawidłowo waliduje kwotę płatności w formularzach korzystających z dynamicznie pobieranej (zmiennej/ukrytej) kwoty, co pozwala nieuwierzytelnionym użytkownikom na niedopłacenie za skonfigurowany produkt lub subskrypcję. Formularze ze stałą, skonfigurowaną ceną nie są podatne.

Wtyczka SureForms dla WordPressa do wersji 2.2.1 włącznie zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych. Funkcje 'create_payment_intent' i 'create_subscription_intent' akceptują kwotę płatności bezpośrednio z danych POST bez weryfikacji z ceną formularza, co pozwala nieuwierzytelnionym atakującym na modyfikację kwoty płatności.

Wtyczka WordPress 'SureForms' jest podatna na obejście ochrony CSRF we wszystkich wersjach do 1.13.1 włącznie. Wtyczka rozdaje ogólne nonce REST API (wp_rest) nieuwierzytelnionym użytkownikom, co pozwala na obejście ochrony CSRF na endpointach REST API opierających się wyłącznie na weryfikacji nonce.

Wtyczka SureForms dla WordPress w wersjach do 1.13.1 włącznie jest podatna na ujawnienie poufnych informacji poprzez rejestrację metadanych posta '_srfm_email_notification'. Wynika to z ustawienia parametru 'auth_callback' na '__return_true', co umożliwia nieuwierzytelniony dostęp do metadanych. Nieuwierzytelnieni atakujący mogą wyodrębnić poufne dane, w tym konfiguracje powiadomień e-mail zawierające adresy CRM/help desk, odbiorców CC/BCC oraz szablony powiadomień.