Drie kwetsbaarheden in WPForms maken ongeauthenticeerde Stripe-terugbetalingen, shortcode-injectie en reflected XSS mogelijk

Wat is er gebeurd

Er zijn drie kwetsbaarheden in de WPForms-plugin bekendgemaakt, elk onder een eigen CVE-identificatie. CVE-2026-74991 beschrijft een fout waarbij de plugin niet controleert of een Stripe-betaalobject dat bij een openbare formulierinzending wordt meegestuurd, daadwerkelijk bij dat formulier hoort. Hierdoor kan een ongeauthenticeerde gebruiker een volledige terugbetaling en onmiddellijke abonnementsopzegging forceren voor betalingen die door andere applicaties op het Stripe-account van de sitebeheerder zijn aangemaakt. CVE-2026-84744 beschrijft het ontbreken van verwijdering van shortcode-scheidingstekens uit ingevoerde veldwaarden voordat deze worden teruggeschreven in het weergegeven formulier, waardoor ongeauthenticeerde gebruikers willekeurige, reeds op de site geregistreerde shortcodes kunnen uitvoeren en details van bijlagen bij niet-openbare berichten kunnen uitlezen. CVE-2026-101921 is een reflected cross-site scripting-probleem via een door de aanvaller gekozen sleutel die wordt gerefereerd door een smart tag. Misbruik vereist dat een sitebeheerder eerder een formulieromschrijving heeft opgeslagen met een {query_var} smart tag binnen een iframe srcdoc-attribuut, dat deze omschrijving openbaar wordt getoond, én dat een slachtoffer wordt verleid om op een geprepareerde link te klikken.

Technische oorzaak

CVE-2026-74991 valt onder CWE-284 (onjuiste toegangscontrole) en komt voort uit het ontbreken van een eigendomscontrole op Stripe-betaalobjecten die bij formulierinzending worden gerefereerd. CVE-2026-84744 valt onder CWE-94 (code-injectie) en wordt veroorzaakt doordat shortcode-scheidingstekens niet worden verwijderd uit door gebruikers ingevoerde veldwaarden voordat deze worden teruggeschreven in de weergegeven formulieruitvoer. CVE-2026-101921 valt onder CWE-79 (cross-site scripting) en is het gevolg van onvoldoende opschoning van invoer en escaping van uitvoer van een sleutelwaarde die door een smart tag wordt gerefereerd. Dit is alleen uitbuitbaar in formulieren waarin een specifieke {query_var} smart tag is ingebed in een iframe srcdoc-attribuut binnen een openbaar getoonde formulieromschrijving.

Waarom dit relevant is

Alle drie de problemen kunnen door ongeauthenticeerde aanvallers worden geactiveerd, en twee daarvan (CVE-2026-74991 en CVE-2026-84744) vereisen helemaal geen gebruikersinteractie. Het Stripe-probleem (CVE-2026-74991) kan leiden tot ongeautoriseerde terugbetalingen en abonnementsopzeggingen die betalingen raken die niets te maken hebben met de WPForms-installatie zelf, wat directe financiële gevolgen heeft voor sitebeheerders die Stripe gebruiken. Het shortcode-injectieprobleem (CVE-2026-84744) kan details van bijlagen bij niet-openbare berichten blootleggen en elke op de site geregistreerde shortcode laten uitvoeren, wat verdere gevolgen kan hebben afhankelijk van welke andere plugins of thema's shortcodes registreren. Het reflected XSS-probleem (CVE-2026-101921) vereist een niet-standaard formulierconfiguratie en gebruikersinteractie, wat de praktische uitbuitbaarheid ervan beperkt vergeleken met de andere twee.

Wie wordt getroffen

Sites met de WPForms-plugin voor WordPress worden getroffen. Voor CVE-2026-74991 worden versies vanaf 1.8.8.2 tot maar niet inclusief 2.0.2 als kwetsbaar vermeld. Voor CVE-2026-84744 worden versies vanaf 1.5.0.1 tot maar niet inclusief 2.0.2.1 als kwetsbaar vermeld. Voor CVE-2026-101921 geeft het advies aan dat versies tot maar niet inclusief 2.0.2.2 kwetsbaar zijn; een ondergrens wordt in de beschikbare gegevens niet vermeld. Sites die Stripe-betalingsintegratie gebruiken, lopen specifiek het risico dat in CVE-2026-74991 wordt beschreven, en sites die formulieromschrijvingen tonen met de specifieke smart tag/iframe-configuratie lopen risico op CVE-2026-101921.

Getroffen versies

CVE-2026-74991: WPForms-versies 1.8.8.2 en hoger, vóór 2.0.2. CVE-2026-84744: WPForms-versies 1.5.0.1 en hoger, vóór 2.0.2.1. CVE-2026-101921: WPForms-versies vóór 2.0.2.2 (in de brongegevens is geen ondergrens opgegeven).

Fixes en mitigatie

Het feitenpakket bevestigt niet dat er voor een van de drie kwetsbaarheden een gepatchte versie is uitgebracht en beschikbaar gesteld; fix_available staat voor alle drie de adviezen op false, ondanks dat versiegrenzen zoals 2.0.2, 2.0.2.1 en 2.0.2.2 in de gegevens over getroffen bereiken worden genoemd als het punt waarop elk probleem als opgelost wordt beschreven. Gezien deze inconsistentie tussen de vermelde versiegrenzen en de expliciete fix_available-vlag kunnen we niet met zekerheid bevestigen of er momenteel een update beschikbaar is die deze problemen verhelpt. Sitebeheerders wordt geadviseerd het wijzigingslogboek van de WPForms-plugin rechtstreeks in het WordPress-beheerpaneel of op de officiële pluginpagina te controleren op de nieuwste beschikbare versie en direct te updaten zodra een fix is bevestigd.

Aanbevolen actie

Werk de WPForms-plugin zo snel mogelijk bij naar de nieuwste beschikbare versie en controleer in het wijzigingslogboek of deze CVE-2026-74991, CVE-2026-84744 en CVE-2026-101921 verhelpt. Controleer bij gebruik van Stripe-betaalformulieren recente Stripe-transactielogs op onverwachte terugbetalingen of abonnementsopzeggingen. Controleer formulieromschrijvingen die smart tags binnen iframe srcdoc-attributen gebruiken en schakel de openbare weergave van dergelijke omschrijvingen uit totdat een update is bevestigd. Overweeg, zolang een fix niet is geverifieerd, om de openbare blootstelling van getroffen formulieren waar mogelijk te beperken.