CVE-2026-11880

Wtyczka Fluent Forms dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 6.2.5 włącznie. Wynika to z tego, że wtyczka nie weryfikuje poprawnie, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym odczyt prywatnych zgłoszeń formularzy, zmianę statusów zgłoszeń, trwałe usuwanie zgłoszeń oraz modyfikację globalnych ustawień wtyczki.

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.14 włącznie jest podatna na Reflected Cross-Site Scripting przez parametr 'any attacker-chosen name matching the {get.NAME} placeholder' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby administrator skonfigurował pole Custom HTML na opublikowanym formularzu zawierające SmartCode {get.*} w atrybucie akceptującym URL, takim jak iframe src lub a href.

Wtyczka Fluent Forms dla WordPressa (wersje do 6.2.11) jest podatna na przechowywany atak XSS przez wartości Smartcode w powiadomieniach. Nieuwierzytelniony atakujący może wstrzyknąć skrypty, które wykonają się w przeglądarce administratora podczas przeglądania dzienników zgłoszeń. Wymaga to skonfigurowania powiadomień e-mail z użyciem podatnych wartości.

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na Reflected Cross-Site Scripting (XSS) poprzez parametr 'param'. Niezautoryzowani atakujący mogą wstrzyknąć dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'transaction'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym brute-force'owanie prawidłowych hashów transakcji i przeglądanie wrażliwych danych płatności, takich jak nazwa klienta, adres e-mail, adres rozliczeniowy, zamówione przedmioty, metoda płatności i status płatności innych użytkowników.

Wtyczka Fluent Forms do WordPressa przed wersją 6.2.6 nie dezynfekuje i nie escapuje jednego z ustawień konfiguracji pola formularza przed wyświetleniem go w skrypcie inline podczas renderowania formularza. Użytkownicy z rolą co najmniej Współautor (z delegowanym uprawnieniem zarządzania formularzami, ale bez unfiltered_html, np. w multisite) mogą przeprowadzić trwały atak XSS, który wykona się w przeglądarce każdego odwiedzającego formularz, w tym administratorów podglądających go.

Wtyczka Fluent Forms dla WordPress do wersji 6.2.7 zawiera podatność na Stored XSS przez pole Name zagnieżdżone w `password`. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt JavaScript, który wykona się przy przeglądaniu strony.

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.1 włącznie zawiera podatność na nieprawidłową autoryzację w parametrze 'subscription_id'. Brak wystarczających kontroli własności w procesie anulowania płatności AJAX umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym anulowanie subskrypcji innych użytkowników.

Wtyczka Fluent Forms dla WordPressa przed wersją 6.2.5 nie ogranicza prawidłowo usuwania wpisów formularzy do tych, którymi zarządza ograniczony menedżer. Pozwala to menedżerowi z ograniczeniami do konkretnych formularzy na trwałe usuwanie wpisów należących do innych formularzy. Wymaga to niestandardowej konfiguracji, w której administrator utworzył co najmniej jednego menedżera z ograniczeniami do określonych formularzy.