NVD / CVE Program· CNA Patchstack

CVE-2024-56276: WordPress WPForms Lite plugin <= 1.9.2.2 - Broken Access Control vulnerability

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 35/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,39% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: Syed Balkhi Contact Form by WPForms 1.9.2.3.
Критичность спорная: CNA оценивает в 4.3, NVD — в 8.8.

Пока низкий приоритет. Обновитесь до Syed Balkhi Contact Form by WPForms 1.9.2.3 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Missing Authorization vulnerability in Syed Balkhi Contact Form by WPForms wpforms-lite allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Contact Form by WPForms: from n/a through <= 1.9.2.2.

ВысокаяCVSS 8.8 · v3.1—Эксплойта нет Есть исправление

Нарушение контроля доступа (IDOR)

Опубликовано: 7 янв. 2025 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,3 % · 33-й процентиль
CWE: CWE-862

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,3 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: 8,8
CNA · Patchstack: 4,3; разница 4,5 балла

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More есть на вашем сайте?

WP Lens снаружи определяет версии плагинов, тем и WordPress на вашем сайте и сопоставляет их с известными уязвимостями. Работает без аккаунта.

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
wpforms	wpforms	cpe:2.3:a:wpforms:wpforms

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

wpforms wpformsдо 1.9.2.3

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Patchstack). Не зависят от анализа CPE в NVD и обычно опережают его.

Syed Balkhi Contact Form by WPForms
- до 1.9.2.2 включительнозатронутаисправлено в 1.9.2.3

Тот же продукт

wpforms: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2024-11205WPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription Cancellation
26Наблюдать
CVE-2023-7063The WPForms Pro plugin for WordPress is vulnerable to Stored Cross-Site Scripting via form submission parameters in all versions up to, and
24Наблюдать
CVE-2024-13403WPForms Lite <= 1.9.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via fieldHTML Parameter
21Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2024-705625 нояб. 2024 г. · WPForms < 1.9.1.6 - Admin+ Stored XSS
14Наблюдать
← РаньшеCVE-2024-1122326 дек. 2024 г. · WPForms < 1.9.2.3 - Admin+ Stored XSS
18Наблюдать
Позже →CVE-2020-3691913 янв. 2026 г. · WPForms 1.7.8 - Cross-Site Scripting (XSS)
20Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Syed Balkhi Contact Form by WPForms	1.9.2.3	Вендор (CNA)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Rafie MuhammadPatchstackнашёл

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2024-11205с разницей 28 дн.WPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription Cancellation
26Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Достаточно учётной записи с низкими привилегиями.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Низкие
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-862 · Missing Authorization

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Exploitation of Thunderbolt Protection FlawsCAPEC-665вероятность: Low · Very High

Техники ATT&CK

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:10 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

patchstack.com/database/Wordpress/Plugin/wpforms-lite/vulnerability/wordpress-wpforms-lite-plugin-1-9-2-2-broken-access-control-vulnerability?_s_id=cve

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: Patchstack

CVE.org (CNA)28 апр. 2026 г., 16:10 UTC
CISA ADP28 апр. 2026 г., 16:10 UTC
NVD17 июн. 2026 г., 04:11 UTC
FIRST EPSS27 окт. 2026 г., 00:00 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.