CVE-2026-86834
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać wrażliwe dane, takie jak identyfikatory korelacji i ciasteczka, co może prowadzić do naruszenia prywatności lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę MetForm do wersji 4.3.1 lub nowszej, aby zapewnić odpowiednie ograniczenie dostępu do pliku debugowania.
Inne podatności w MetForm
Zobacz wszystkie- CVE-2026-103339Średnie
Wtyczka Metform ma podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 4.3.0 włącznie.
- CVE-2026-114180Średnie
Wtyczka WordPress Metform (do wersji 4.3.2) zawiera podatność typu Missing Authorization wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnych ustawień autoryzacji.
- CVE-2026-86833Średnie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie filtruje ani nie koduje wartości pól formularza przed wstawieniem ich do treści HTML wiadomości e-mail, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnego kodu HTML do powiadomień e-mail wysyłanych do administratorów i nadawców.
- CVE-2026-86832Średnie
Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.
- CVE-2026-18100Średnie
Wtyczka MetForm dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 4.1.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Payload omija filtr wp_kses_post, ponieważ nie zawiera tagów HTML, a transformacja str_replace w MetForm zapewnia dodatkową ścieżkę dostarczenia.
Oryginalny opis (angielski, źródło NVD)
The MetForm WordPress plugin before 4.3.1 does not properly restrict access to a debug file it writes to the web root on every form submission when its HubSpot Forms integration is enabled, allowing unauthenticated attackers to read upstream API response data, including correlation identifiers and cookies.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS