CVE-2026-13378: Stored Cross-Site Scripting w wtyczce Form Vibes dla WordPress

Co wiadomo

Wtyczka Form Vibes – Database Manager for Forms dla WordPress do wersji 1.5.2 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez pole formularza Contact Form 7. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Form Vibes i jej aktualizację do wersji po 1.5.2, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć ekspozycję formularzy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall. Priorytetowo traktuj audyt i zabezpieczenie formularzy Contact Form 7.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference