CVE-2026-3831: Nieautoryzowany dostęp do danych w wtyczkach formularzy WordPress

Co wiadomo

Wtyczki Database for Contact Form 7, WPforms oraz Elementor forms dla WordPress do wersji 1.4.9 mają lukę umożliwiającą użytkownikom z uprawnieniami Contributor i wyższymi nieautoryzowany dostęp do wszystkich przesłanych formularzy, w tym danych osobowych takich jak imiona, e-maile i numery telefonów.

Wpływ biznesowy

Luka pozwala na wyciek danych osobowych z formularzy kontaktowych, co może prowadzić do naruszenia prywatności użytkowników oraz potencjalnych konsekwencji prawnych i reputacyjnych dla właścicieli stron. Atakujący z uprawnieniami Contributor mogą uzyskać dostęp do wrażliwych informacji bez dodatkowej autoryzacji, co zwiększa ryzyko nadużyć i wycieków danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczek i ich instalację, jeśli są dostępne. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi dostępu oraz rozważyć tymczasowe wyłączenie funkcji entries_shortcode() do czasu załatania luki. Regularne przeglądy uprawnień i audyty bezpieczeństwa pomogą zminimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference