CVE-2026-120561
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa w wersjach do 3.6.2 włącznie pozwala na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'do_action' w klasie akcji 'Update_Options'. Nieuwierzytelnieni atakujący mogą modyfikować wartości strony opcji JetEngine, gdy administrator skonfigurował formularz z akcją po wysłaniu "Update Options". Wymagane jest zainstalowanie i aktywacja JetFormBuilder oraz JetEngine oraz skonfigurowanie formularza z tą akcją.
Ocena ryzyka
Atakujący może zmienić konfigurację opcji JetEngine, co może wpłynąć na działanie witryny i integralność danych. Ryzyko występuje tylko w określonej konfiguracji formularzy.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.6.2, gdy tylko będzie dostępna, i przejrzyj formularze z akcją "Update Options". Do czasu aktualizacji rozważ usunięcie tej akcji z formularzy.
Inne podatności w JetFormBuilder WordPress plugin
Zobacz wszystkie- CVE-2026-92212Średnie
Wtyczka JetFormBuilder dla WordPressa (wersje do 3.6.5.3 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'jfb_xss' w zmiennej zapytania URL. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
- CVE-2026-19862Średnie
Wtyczka JetFormBuilder dla WordPressa przed wersją 3.6.5.2 nie waliduje ani nie usuwa znaków nowej linii z wartości adresów pochodzących z pól formularza przed dodaniem ich do nagłówków wysyłanych e-maili, co pozwala nieuwierzytelnionym użytkownikom na wstrzykiwanie dowolnych nagłówków e-mail, dodawanie ukrytych odbiorców i fałszowanie nadawcy. Wykorzystanie wymaga, aby witryna była skonfigurowana do pobierania jednego z adresów wiadomości z pola formularza.
Oryginalny opis (angielski, źródło NVD)
The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'do_action' function in the 'Update_Options' action class in all versions up to, and including, 3.6.2. This makes it possible for unauthenticated attackers to modify JetEngine Options Page values when an administrator has configured a form with the "Update Options" post-submission action. The vulnerability requires that both JetFormBuilder and JetEngine are installed and active, and that an administrator has specifically configured a form with the Update Options action.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS