CVE-2026-92086
ŚrednieCVSS 5.3Streszczenie
Wtyczka MW WP Form dla WordPressa w wersjach do 5.1.7 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'post_id'. Nieuwierzytelniony atakujący może wyodrębnić dane osobowe z zapisów formularzy innych użytkowników, w tym imiona, adresy e-mail i treść wiadomości, enumerując kolejne identyfikatory postów.
Ocena ryzyka
Wyciek danych osobowych (imiona, e-maile, treść zgłoszeń) może naruszyć RODO i zaufanie użytkowników. Wymaga włączonego ustawienia querystring w docelowym formularzu, które jest standardową funkcją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę MW WP Form do wersji nowszej niż 5.1.7 i rozważ wyłączenie ustawienia querystring w formularzach, jeśli nie jest konieczne.
Inne podatności w MW WP Form
Zobacz wszystkie- CVE-2026-96567Wysokie
Wtyczka MW WP Form dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'post_id' we wszystkich wersjach do 5.1.7 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Mechanizm CSRF chroniący przesyłanie formularzy może zostać ominięty przez nieuwierzytelnionego użytkownika, który najpierw załaduje publiczną stronę formularza, aby uzyskać ważne cookie.
- CVE-2026-78363Średnie
Wtyczka MW WP Form dla WordPressa przed wersją 5.1.5 nie zapobiega wykonywaniu shortcode'ów w wartościach wprowadzanych przez użytkownika, gdy są one scalane z wiadomością przetwarzaną później na shortcode'y. Umożliwia to nieuwierzytelnionym atakującym uruchomienie dowolnego shortcode'a zarejestrowanego na stronie. Wykorzystanie wymaga, aby strona była skonfigurowana do odesłania wprowadzonej wartości z powrotem do odwiedzającego po przesłaniu.
- CVE-2026-78364Niskie
Wtyczka MW WP Form dla WordPressa przed wersją 5.1.6 nie sanityzuje i nie escapuje niektórych ustawień formularzy przed ich wyświetleniem na stronie panelu administracyjnego, co może pozwolić użytkownikom z rolą co najmniej Edytora na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wyższymi uprawnieniami, takim jak administrator.
- CVE-2026-48871Wysokie
W wersjach MW WP Form <= 5.1.3 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-5436Wysokie
Podatność we wtyczce MW WP Form dla WordPressa w wersjach do 5.1.1. Niewystarczająca walidacja parametru $name pozwala nieuwierzytelnionemu atakującemu na przeniesienie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The MW WP Form plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.1.7 via the 'post_id' parameter. This makes it possible for unauthenticated attackers to extract personally identifiable information from other users' form inquiry records, including submitted names, email addresses, and free-text message bodies, by enumerating sequential post IDs. Exploitation requires the targeted form to have the querystring setting enabled, but this is a standard documented feature of the plugin.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS