CVE-2026-49767

W wpForo Forum w wersjach do 3.1.0 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.

W wpForo Forum w wersjach do 3.0.4 występuje podatność na nieautoryzowaną iniekcję SQL.

Wtyczka wpForo Forum dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka wpForo Forum dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole profilu 'telegram' w wersjach do 3.1.6 włącznie. Surowa tablica $_POST['data'] jest kopiowana do zmiennej $custom_fields przed uruchomieniem funkcji validate() i sanitize(), które działają tylko na równoległej referencji $user, przez co dane są zapisywane bez sanityzacji.

Podatność Cross Site Scripting (XSS) w wtyczce wpForo Forum w wersjach do 3.1.5 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Subscriber.

Wtyczka wpForo Forum dla WordPressa w wersjach do 3.1.5 włącznie jest podatna na obejście autoryzacji z powodu braku weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może przejąć post gościa i zmodyfikować jego tytuł, treść, nazwę autora oraz zapisany adres e-mail.

Wtyczka wpForo Forum dla WordPressa do wersji 2.4.17 włącznie jest podatna na SQL Injection przez parametr 'referer'. Brak odpowiedniego escapowania i przygotowania zapytań SQL pozwala niezautoryzowanym atakującym na dołączanie dodatkowych zapytań, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.

Wtyczka wpForo Forum dla WordPressa przed wersją 3.1.3 nie ogranicza, które pola profilu może ustawić członek podczas edycji własnego konta. Umożliwia to użytkownikom z kontem na poziomie subskrybenta zapisywanie pól stanu konta i reputacji kontrolowanych przez administratora na własnym profilu, w tym samodzielną aktywację konta oczekującego lub zbanowanego oraz fałszowanie wyniku reputacji na forum.

Wtyczka wpForo Forum do WordPressa przed wersją 3.1.2 nie oczyszcza i nie koduje pola profilu użytkownika przed wyświetleniem go w atrybucie HTML na publicznej stronie profilu, co pozwala użytkownikom z kontem subskrybenta na wstrzyknięcie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego profil, w tym zalogowanego administratora.

Wtyczka wpForo Forum dla WordPressa przed wersją 3.1.2 nie weryfikuje, czy rozmowa AI chat należy do żądającego użytkownika przed usunięciem jej wiadomości. Pozwala to użytkownikom z kontem na poziomie subskrybenta na trwałe usunięcie historii wiadomości AI chat dowolnego innego użytkownika.