CVE-2026-87074
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Forminator Forms w wersji przed 1.57.2.1 nie wiąże powiadomienia o zapisanym szkicu z odwiedzającym, który go utworzył, i pobiera zarówno adres odbiorcy, jak i link w wiadomości z żądania. Umożliwia to niezalogowanym odwiedzającym wysłanie wiadomości z konfiguracji pocztowej witryny na dowolny adres z linkiem według własnego wyboru. Token autoryzujący wysyłkę jest przekazywany anonimowemu wywołującemu przez samą wtyczkę i może być odtwarzany bez ograniczeń.
Ocena ryzyka
Niezalogowany atakujący może wykorzystać witrynę do rozsyłania wiadomości phishingowych lub spamu z zaufanego adresu, co może zaszkodzić reputacji organizacji i narazić odbiorców na oszustwo.
Rekomendacja
Zaktualizuj wtyczkę Forminator Forms do wersji 1.57.2.1 lub nowszej. Do czasu aktualizacji rozważ wyłączenie funkcji zapisywania szkiców.
Inne podatności w Forminator Forms WordPress plugin
Zobacz wszystkie- CVE-2026-97638Wysokie
Wtyczka Forminator Forms dla WordPressa w wersjach do 1.57.3.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'previous_draft_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może usuwać dowolne zapisane szkice innych użytkowników i przejmować ich identyfikatory, nadpisując je własnymi zgłoszeniami formularzy.
- CVE-2026-5461Średnie
Wtyczka Forminator Forms dla WordPressa jest podatna na ograniczone usuwanie plików we wszystkich wersjach do 1.55.0.2 włącznie. Wtyczka przyjmuje dowolne metadane pola upload z żądań POST w szkicach bez odpowiedniej walidacji, co jest wykorzystywane do usuwania plików, gdy kolejny szkic odwołuje się do zatrutego szkicu poprzez parametr previous_draft_id. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików nie-PHP w katalogu wp-content/uploads/.
- CVE-2026-87068Średnie
Wtyczka Forminator Forms dla WordPressa w wersji przed 1.57.2.1 nie stosuje walidacji ról, którą egzekwuje w innych miejscach, gdy formularz rejestracji jest zagnieżdżony w zaimportowanym quizie. Umożliwia to użytkownikowi mogącemu importować quizy opublikowanie aktywnego, publicznie dostępnego formularza, który przyznaje dowolną rolę, w tym administratora, każdemu, kto go wyśle. Ten sam użytkownik jest odrzucany przy identycznym formularzu poprzez zwykły edytor formularzy i zwykły import formularzy.
- CVE-2026-87067Wysokie
Wtyczka WordPress Forminator Forms przed wersją 1.57.2.1 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pochodzącej z żądania XML-RPC. Umożliwia to użytkownikom posiadającym uprawnienie do zarządzania formularzami zapis dowolnego pliku i wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
The Forminator Forms WordPress plugin before 1.57.2.1 does not bind its saved-draft notification to the visitor who created the draft, and takes both the recipient address and the link written into the message from the request, so unauthenticated visitors can make the site send a message from its own mail configuration to any address, carrying a link of their choosing inside the site's own template. The token that authorises the send is handed to the anonymous caller by the Forminator Forms WordPress plugin before 1.57.2.1 itself and can be replayed without limit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS