WPForms do WordPress podatny na wstrzyknięcie nagłówków e-mail (CVE-2026-12127)

Co wiadomo

Wtyczka WPForms dla WordPress do wersji 1.10.2 jest podatna na wstrzyknięcie sekwencji CRLF, co pozwala nieautoryzowanym atakującym na dodanie dodatkowych nagłówków e-mail, takich jak Bcc, do powiadomień wysyłanych z formularzy. Luka wynika z niewłaściwej obsługi pola Reply-To w powiadomieniach e-mail.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wysyłania kopii powiadomień e-mail na adresy kontrolowane przez nich, co może prowadzić do wycieku informacji lub nadużyć w komunikacji e-mailowej. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z bezpieczeństwem poczty oraz reputacją domeny wysyłającej wiadomości.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki WPForms i ich zastosowanie. W międzyczasie warto ograniczyć użycie pól tekstowych jako adresów Reply-To w konfiguracji powiadomień oraz monitorować logi serwera pocztowego pod kątem podejrzanej aktywności. Wdrożenie dodatkowych mechanizmów walidacji i filtrowania danych wejściowych również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference