CVE-2026-120070
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka User Frontend dla WordPressa (do wersji 4.3.13) jest podatna na eskalację uprawnień poprzez parametr 'post_content' w funkcji submit_post(). Luka pozwala na wstrzyknięcie bajtu kontrolnego w nazwie shortcode, aby ominąć blokadę i zapisać działający shortcode rejestracji z rolą 'editor'. Umożliwia to uwierzytelnionym atakującym z poziomem Subskrybenta utworzenie konta z uprawnieniami Edytora.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może utworzyć konto o wyższych uprawnieniach (Edytora), a przy włączonym autologowaniu uzyskać natychmiastowy dostęp do sesji uprzywilejowanej. Może to prowadzić do modyfikacji treści i dalszej eskalacji.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 4.3.13. Dodatkowo rozważ wyłączenie automatycznego logowania po rejestracji i monitorowanie nietypowych rejestracji.
Inne podatności w User Frontend
Zobacz wszystkie- CVE-2026-5459Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.
- CVE-2026-103962Średnie
Wtyczka User Frontend dla WordPressa jest podatna na odbite XSS poprzez parametr 'field_attr[required]' w wersjach do 4.3.13 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku. Sprawdzenie nonce nie stanowi bariery, ponieważ wartość wpuf_nonce jest publicznie dostępna dla każdego anonimowego odwiedzającego.
- CVE-2026-96574Średnie
Wtyczka User Frontend dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'wpuf_payment_method' we wszystkich wersjach do 4.3.12 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Technika obejścia polega na dodaniu prawidłowego słowa kluczowego bramki, takiego jak 'bank', do ładunku HTML, co powoduje, że funkcja sanitize_text_field() zwraca tylko słowo kluczowe do celów routingu, podczas gdy pełna złośliwa wartość jest przechowywana i później renderowana bez escapowania.
- CVE-2026-17563Średnie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie egzekwuje wymogu zakupu subskrypcji podczas przetwarzania zgłoszeń z frontendu, tylko podczas renderowania formularza, co pozwala nieuwierzytelnionym użytkownikom tworzyć i, w zależności od konfiguracji formularza, natychmiast publikować posty przez formularze przeznaczone dla płacących subskrybentów.
- CVE-2026-19116Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie zapobiega deserializacji wartości pól dostarczonych przez użytkownika, gdy przesłany post jest ponownie otwierany w formularzu edycji front-end. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na przeprowadzenie PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, jeśli na stronie znajduje się odpowiedni łańcuch gadżetów.
- CVE-2026-14558Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.10 nieprawidłowo waliduje definicje typów pól i deserializuje kontrolowane przez użytkownika metadane postów podczas renderowania przesłanych wpisów. Użytkownicy z dostępem na poziomie edytora i wyższym mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, gdy na stronie istnieje odpowiedni łańcuch POP.
- CVE-2026-12418Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'wpuf_files_data'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym nadpisanie tytułu, treści i streszczenia dowolnego wpisu na stronie, w tym wpisów administratorów.
- CVE-2026-12406Średnie
Wtyczka User Frontend dla WordPress w wersjach do 4.3.7 zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą usuwać dowolne załączniki multimedialne, których autor ma ID 0, wykorzystując akcję AJAX wpuf_file_del.
Oryginalny opis (angielski, źródło NVD)
The User Frontend – Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 4.3.13 via the `post_content` parameter of the `submit_post()` function. The vulnerability exists because the protected-shortcode blocklist guard inspects the `sanitize_textarea_field()` copy of the submitted `post_content`, while the copy actually persisted to the database is processed through `wp_kses()`, whose `wp_kses_no_null()` step strips C0 control bytes — allowing an attacker to inject a single `\x01` byte inside the `[wpuf-registration]` tag name to defeat the `strpos()` blocklist check while the clean, functional shortcode is stored verbatim; `strip_shortcodes()` does not neutralize the stored shortcode either, because the Frontend container that registers it via `add_shortcode()` is only instantiated when `is_admin()` is false, and `admin-ajax` requests have `is_admin() === true`. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a `[wpuf-registration role="editor"]` shortcode into a published post, causing a live Editor-role registration form to be rendered publicly on the frontend that any visitor — or the attacker themselves — can submit to mint a WordPress Editor account with an immediately active privileged session when the default `autologin_after_registration` setting is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS