CVE-2026-4703 in WS Form LITE Plugin
Tóm tắt
Bởi VulDB • 22/08/2026
Plugin WS Form LITE – Drag & Drop Contact Form Builder cho WordPress bị lỗi PHP Object Injection trong tất cả các phiên bản từ 1.0 đến bao gồm 1.10.80 thông qua việc giải mã hóa (deserialization) dữ liệu không đáng tin cậy từ các giá trị meta của form khi gửi đi. Điều này tạo điều kiện để những kẻ tấn công chưa được xác thực có thể chèn một đối tượng PHP vào hệ thống. Không có POP chain nào hiện diện trong phần mềm bị lỗi, nghĩa là lỗ hổng này sẽ không gây ra tác động gì trừ khi trên trang web đó còn cài đặt thêm plugin hoặc theme khác chứa POP chain. Nếu tồn tại POP chain thông qua các plugin hoặc theme bổ sung được cài đặt trên hệ thống mục tiêu, kẻ tấn công có thể thực hiện các hành vi như xóa tùy ý các tệp tin, truy xuất dữ liệu nhạy cảm hoặc thực thi mã (code execution), tùy thuộc vào POP chain cụ thể đang hiện diện.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.