CVE-2026-3330: SQL Injection w wtyczce Form Maker by 10Web dla WordPress

Co wiadomo

Wtyczka Form Maker by 10Web dla WordPress do wersji 1.15.40 jest podatna na SQL Injection poprzez parametry ip_search, startdate, enddate, username_search oraz useremail_search. Atakujący z uprawnieniami administratora mogą wstrzykiwać dodatkowe zapytania SQL, a luka może być wykorzystana także przez CSRF.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wykradanie poufnych danych z bazy WordPress poprzez manipulację zapytaniami SQL. Ponieważ luka może być wykorzystana także przez ataki CSRF, istnieje ryzyko nieautoryzowanego działania na koncie administratora, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Form Maker by 10Web i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administratora tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych zapytań SQL oraz rozważ wdrożenie dodatkowych mechanizmów ochrony przed CSRF. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference