CVE-2026-92212
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka JetFormBuilder dla WordPressa (wersje do 3.6.5.3 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'jfb_xss' w zmiennej zapytania URL. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
Ocena ryzyka
Nieuwierzytelniony atakujący może nakłonić użytkownika do kliknięcia złośliwego linku, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści widocznych dla użytkownika.
Rekomendacja
Zaktualizować wtyczkę JetFormBuilder do wersji nowszej niż 3.6.5.3, gdy tylko poprawka będzie dostępna, oraz w międzyczasie rozważyć wyłączenie funkcji obliczanych pól.
Inne podatności w JetFormBuilder WordPress Plugin
Zobacz wszystkie- CVE-2026-120561Średnie
Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa w wersjach do 3.6.2 włącznie pozwala na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'do_action' w klasie akcji 'Update_Options'. Nieuwierzytelnieni atakujący mogą modyfikować wartości strony opcji JetEngine, gdy administrator skonfigurował formularz z akcją po wysłaniu "Update Options". Wymagane jest zainstalowanie i aktywacja JetFormBuilder oraz JetEngine oraz skonfigurowanie formularza z tą akcją.
- CVE-2026-19862Średnie
Wtyczka JetFormBuilder dla WordPressa przed wersją 3.6.5.2 nie waliduje ani nie usuwa znaków nowej linii z wartości adresów pochodzących z pól formularza przed dodaniem ich do nagłówków wysyłanych e-maili, co pozwala nieuwierzytelnionym użytkownikom na wstrzykiwanie dowolnych nagłówków e-mail, dodawanie ukrytych odbiorców i fałszowanie nadawcy. Wykorzystanie wymaga, aby witryna była skonfigurowana do pobierania jednego z adresów wiadomości z pola formularza.
Oryginalny opis (angielski, źródło NVD)
The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via 'jfb_xss' (URL Query Variable) Parameter via Calculated Field in all versions up to, and including, 3.6.5.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires the targeted page to host a form configured with both a URL Query Variable preset field and a Calculated Field that references it, which are standard plugin features.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS