CVE-2026-81785
ŚrednieCVSS 6.5Streszczenie
Wtyczka BuddyForms w wersjach do 2.9.0 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu pozwala na wykonanie operacji, do których użytkownik nie powinien mieć uprawnień.
Ocena ryzyka
Nieuwierzytelniony atakujący może obejść mechanizmy kontroli dostępu i wykonać nieautoryzowane działania w serwisie WordPress. Może to prowadzić do modyfikacji danych lub ujawnienia zasobów.
Rekomendacja
Zaktualizuj wtyczkę BuddyForms do wersji nowszej niż 2.9.0, która zawiera poprawkę kontroli dostępu. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji wtyczki.
Inne podatności w BuddyForms
Zobacz wszystkie- CVE-2026-118437Niskie
Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.
- CVE-2026-118101Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.
- CVE-2026-118100Średnie
Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.
- CVE-2025-62973Średnie
BuddyForms (wtyczka Themekraft) do wersji 2.10.2 zawiera podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Atakujący może wykorzystać to do nieautoryzowanych operacji.
- CVE-2025-32151Wysokie
Wtyczka BuddyForms (wersje do 2.10.2) zawiera podatność PHP Local File Inclusion z powodu nieprawidłowej kontroli nazwy pliku w instrukcji include/require.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in BuddyForms <= 2.9.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS