CVE-2026-11361

Wtyczka Formidable Forms dla WordPressa w wersjach do 6.35 włącznie jest podatna na instalację dowolnych wtyczek poprzez parametr 'file_url'. Wynika to z niewystarczającej walidacji prefiksu URL w validate_url_is_in_s3_bucket() oraz callbacku uprawnień opierającego się wyłącznie na wspólnym tokenie dostępnym dla użytkowników z uprawnieniem frm_view_forms, bez sprawdzania install_plugins lub activate_plugins. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może zainstalować dowolne wtyczki na serwerze, o ile witryna korzysta tylko z darmowej wersji (Formidable Pro nie jest zainstalowane).

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie zapobiega przedostawaniu się wartości pochodzących z żądania do parsera shortcode'ów WordPressa, gdy podstawia obsługiwany token do niestandardowego HTML formularza. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów z atrybutami wybranymi przez atakującego po stronie serwera na każdej stronie wyświetlającej dotknięty formularz.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.

Wtyczka Formidable Forms dla WordPressa jest podatna na przechowywany XSS przez parametr 'frm_user_id' we wszystkich wersjach do 6.33.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie użytkownika. Poprzez sfałszowanie frm_user_id na identyfikator administratora, atakujący może spowodować, że tylko wp_kses_post() będzie filtrem, a skrypt wykona się automatycznie.