CVE-2026-19862
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka JetFormBuilder dla WordPressa przed wersją 3.6.5.2 nie waliduje ani nie usuwa znaków nowej linii z wartości adresów pochodzących z pól formularza przed dodaniem ich do nagłówków wysyłanych e-maili, co pozwala nieuwierzytelnionym użytkownikom na wstrzykiwanie dowolnych nagłówków e-mail, dodawanie ukrytych odbiorców i fałszowanie nadawcy. Wykorzystanie wymaga, aby witryna była skonfigurowana do pobierania jednego z adresów wiadomości z pola formularza.
Ocena ryzyka
Atakujący może wysyłać e-maile z fałszywym nadawcą lub ukrytymi odbiorcami, co może prowadzić do phishingu lub naruszenia reputacji organizacji.
Rekomendacja
Należy zaktualizować wtyczkę JetFormBuilder do wersji 3.6.5.2 lub nowszej oraz skonfigurować walidację danych wejściowych.
Inne podatności w JetFormBuilder WordPress plugin
Zobacz wszystkie- CVE-2026-120561Średnie
Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa w wersjach do 3.6.2 włącznie pozwala na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'do_action' w klasie akcji 'Update_Options'. Nieuwierzytelnieni atakujący mogą modyfikować wartości strony opcji JetEngine, gdy administrator skonfigurował formularz z akcją po wysłaniu "Update Options". Wymagane jest zainstalowanie i aktywacja JetFormBuilder oraz JetEngine oraz skonfigurowanie formularza z tą akcją.
- CVE-2026-92212Średnie
Wtyczka JetFormBuilder dla WordPressa (wersje do 3.6.5.3 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'jfb_xss' w zmiennej zapytania URL. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
Oryginalny opis (angielski, źródło NVD)
The JetFormBuilder WordPress plugin before 3.6.5.2 does not validate or strip line breaks from address values it sources from submitted form fields before adding them to the headers of the e-mails it sends, allowing unauthenticated users to inject arbitrary e-mail headers, add hidden recipients and spoof the sender. Exploitation requires the site to be configured to take one of the message's addresses from a form field.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS