CVE-2026-12793

KrytyczneCVSS 9.8

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa w wersjach do 3.6.2 włącznie jest podatna na eskalację uprawnień. Wynika to z braku walidacji, czy przesłany identyfikator formularza należy do formularza JetFormBuilder, przed przetworzeniem treści wskazanego wpisu jako schematu formularza i wykonaniem serwerowego callbacku Advanced Validation. Umożliwia to nieuwierzytelnionym atakującym utworzenie nowego konta o uprawnieniach administratora.

Ocena ryzyka

Atakujący może utworzyć konto administratora bez uwierzytelnienia, przejmując pełną kontrolę nad witryną WordPress. Prowadzi to do możliwości instalacji backdoorów, modyfikacji treści i kradzieży danych.

Rekomendacja

Zaktualizuj wtyczkę JetFormBuilder do wersji nowszej niż 3.6.2 lub ją wyłącz, jeśli aktualizacja nie jest dostępna. Monitoruj konta użytkowników pod kątem nieautoryzowanych kont administracyjnych.

Inne podatności w JetFormBuilder — Dynamic Blocks Form Builder

CVE-2026-97342Wysokie
Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez meta pole 'choice' w akcji Insert/Update Post we wszystkich wersjach do 3.6.5.4 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atak jest możliwy przez publiczny endpoint wp_ajax_nopriv_jet_form_builder_submit.

Oryginalny opis (angielski, źródło NVD)

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS