CVE-2026-87067
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Forminator Forms przed wersją 1.57.2.1 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pochodzącej z żądania XML-RPC. Umożliwia to użytkownikom posiadającym uprawnienie do zarządzania formularzami zapis dowolnego pliku i wykonanie dowolnego kodu.
Ocena ryzyka
Domyślnie uprawnienie to należy do administratora, ale witryny mogą przyznać je innym rolom, co obniża próg wykorzystania podatności i grozi pełnym przejęciem serwera.
Rekomendacja
Zaktualizuj wtyczkę Forminator Forms do wersji 1.57.2.1 lub nowszej i zweryfikuj, którym rolom przyznano uprawnienie do zarządzania formularzami.
Inne podatności w Forminator Forms WordPress plugin
Zobacz wszystkie- CVE-2026-97638Wysokie
Wtyczka Forminator Forms dla WordPressa w wersjach do 1.57.3.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'previous_draft_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może usuwać dowolne zapisane szkice innych użytkowników i przejmować ich identyfikatory, nadpisując je własnymi zgłoszeniami formularzy.
- CVE-2026-5461Średnie
Wtyczka Forminator Forms dla WordPressa jest podatna na ograniczone usuwanie plików we wszystkich wersjach do 1.55.0.2 włącznie. Wtyczka przyjmuje dowolne metadane pola upload z żądań POST w szkicach bez odpowiedniej walidacji, co jest wykorzystywane do usuwania plików, gdy kolejny szkic odwołuje się do zatrutego szkicu poprzez parametr previous_draft_id. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików nie-PHP w katalogu wp-content/uploads/.
- CVE-2026-87074Niskie
Wtyczka WordPress Forminator Forms w wersji przed 1.57.2.1 nie wiąże powiadomienia o zapisanym szkicu z odwiedzającym, który go utworzył, i pobiera zarówno adres odbiorcy, jak i link w wiadomości z żądania. Umożliwia to niezalogowanym odwiedzającym wysłanie wiadomości z konfiguracji pocztowej witryny na dowolny adres z linkiem według własnego wyboru. Token autoryzujący wysyłkę jest przekazywany anonimowemu wywołującemu przez samą wtyczkę i może być odtwarzany bez ograniczeń.
- CVE-2026-87068Średnie
Wtyczka Forminator Forms dla WordPressa w wersji przed 1.57.2.1 nie stosuje walidacji ról, którą egzekwuje w innych miejscach, gdy formularz rejestracji jest zagnieżdżony w zaimportowanym quizie. Umożliwia to użytkownikowi mogącemu importować quizy opublikowanie aktywnego, publicznie dostępnego formularza, który przyznaje dowolną rolę, w tym administratora, każdemu, kto go wyśle. Ten sam użytkownik jest odrzucany przy identycznym formularzu poprzez zwykły edytor formularzy i zwykły import formularzy.
Oryginalny opis (angielski, źródło NVD)
The Forminator Forms WordPress plugin before 1.57.2.1 does not restrict which classes may be instantiated when it deserialises a value taken from an XML-RPC request, allowing users who hold its forms-management permission to write a file of their choosing and execute arbitrary code. That permission belongs to an administrator by default, and to any role the site has granted it through the Forminator Forms WordPress plugin before 1.57.2.1's own settings, so the issue is reachable well below administrator on sites that use that feature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS