CVE-2026-13459

WordPress üçün JetFormBuilder — Dynamic Blocks Form Builder plaqini 3.6.3 versiyası da daxil olmaqla bütün versiyalarda avtorizasiyadan yan keçmə zəifliyinə malikdir. Bu, plaqinin istifadəçinin hər hansı əməliyyatı yerinə yetirmək üçün səlahiyyətli olduğunu düzgün yoxlamaması səbəbindən baş verir. Bu, autentifikasiyadan keçməmiş hücumçulara saytda istənilən ixtiyari wp_postmeta açarı altında saxlanılan hər bir fərqli dəyəri — o cümlədən _billing_email, _billing_phone və _billing_address sahələri kimi WooCommerce ödəniş PII məlumatlarını, sifariş məbləğlərini, qoşma yollarını və post meta-da saxlanılan istənilən üçüncü tərəf plaqin etimadnamələrini və ya tokenlərini — əldə etməsini mümkün edir, bu şərtlə ki, saytda get_from_db generator sahəsi olan ən azı bir dərc edilmiş JetFormBuilder forması mövcuddur. İstismar üçün tələb olunur ki, hədəf saytda generator_function dəyəri get_from_db olaraq təyin edilmiş sahəni ehtiva edən ən azı bir dərc edilmiş jet-form-builder postu olsun; hücumçu sorğuda uyğun form ID, sahə adı və generator ID təqdim etməlidir, lakin bunların hamısı saytın ictimai formalarına baxmaqla aşkar edilə bilər.