CVE-2026-28143

Nieuwierzytelniona podatność na wstrzykiwanie obiektów PHP w wtyczce Forminator w wersjach do 1.57.0. Atakujący może wysłać specjalnie spreparowane dane, aby wykonać dowolny kod.

Wtyczka Forminator (WPMU DEV) zawiera podatność typu brak autoryzacji, wynikającą z błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 1.58.0.

Wtyczka Forminator w wersjach do 1.57.3 włącznie pozwala nieuwierzytelnionemu atakującemu na usuwanie dowolnych treści w serwisie WordPress. Luka nie wymaga zalogowania ani specjalnych uprawnień.

Wtyczka Forminator od WPMU DEV w wersjach do 1.57.3 ma podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień.

Wtyczka Forminator autorstwa WPMU DEV do wersji 1.57.3 zawiera podatność Stored XSS (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Atakujący może zapisać złośliwy skrypt, który wykona się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę.

Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce Forminator. Dotyczy wersji od n/a do 1.57.2.

Wtyczka Forminator (od WPMU DEV) w wersji do 1.57.3 zawiera podatność na Cross-Site Request Forgery (CSRF), która umożliwia atakującemu wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Podatność braku autoryzacji we wtyczce Forminator (WPMU DEV) do wersji 1.57.2. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Forminator w wersji 1.57.1 i wcześniejszych zawiera nieuwierzytelnioną podatność innego typu. Osoba atakująca bez logowania może wykorzystać tę lukę.

Podatność na eskalację uprawnień użytkownika z rolą Współautor (Contributor) w wtyczce Forminator w wersjach do 1.56.0 włącznie. Użytkownik o niskich uprawnieniach może podnieść swoje uprawnienia.