CVE-2026-17567
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'transaction'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym brute-force'owanie prawidłowych hashów transakcji i przeglądanie wrażliwych danych płatności, takich jak nazwa klienta, adres e-mail, adres rozliczeniowy, zamówione przedmioty, metoda płatności i status płatności innych użytkowników.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych płatności innych użytkowników, co narusza prywatność i może prowadzić do kradzieży tożsamości lub oszustw.
Rekomendacja
Zaktualizuj wtyczkę Fluent Forms do najnowszej wersji, która zawiera poprawki zabezpieczeń.
Inne podatności w Fluent Forms
Zobacz wszystkie- CVE-2026-18146Wysokie
Wtyczka Fluent Forms dla WordPressa (wersje do 6.2.11) jest podatna na przechowywany atak XSS przez wartości Smartcode w powiadomieniach. Nieuwierzytelniony atakujący może wstrzyknąć skrypty, które wykonają się w przeglądarce administratora podczas przeglądania dzienników zgłoszeń. Wymaga to skonfigurowania powiadomień e-mail z użyciem podatnych wartości.
- CVE-2026-17571Średnie
Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na Reflected Cross-Site Scripting (XSS) poprzez parametr 'param'. Niezautoryzowani atakujący mogą wstrzyknąć dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.
- CVE-2026-11881Średnie
Wtyczka Fluent Forms do WordPressa przed wersją 6.2.6 nie dezynfekuje i nie escapuje jednego z ustawień konfiguracji pola formularza przed wyświetleniem go w skrypcie inline podczas renderowania formularza. Użytkownicy z rolą co najmniej Współautor (z delegowanym uprawnieniem zarządzania formularzami, ale bez unfiltered_html, np. w multisite) mogą przeprowadzić trwały atak XSS, który wykona się w przeglądarce każdego odwiedzającego formularz, w tym administratorów podglądających go.
- CVE-2026-16655Wysokie
Wtyczka Fluent Forms dla WordPress do wersji 6.2.7 zawiera podatność na Stored XSS przez pole Name zagnieżdżone w `password`. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt JavaScript, który wykona się przy przeglądaniu strony.
- CVE-2026-5069Średnie
Wtyczka Fluent Forms dla WordPressa do wersji 6.2.1 włącznie zawiera podatność na nieprawidłową autoryzację w parametrze 'subscription_id'. Brak wystarczających kontroli własności w procesie anulowania płatności AJAX umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym anulowanie subskrypcji innych użytkowników.
- CVE-2026-11578Niskie
Wtyczka Fluent Forms dla WordPressa przed wersją 6.2.5 nie ogranicza prawidłowo usuwania wpisów formularzy do tych, którymi zarządza ograniczony menedżer. Pozwala to menedżerowi z ograniczeniami do konkretnych formularzy na trwałe usuwanie wpisów należących do innych formularzy. Wymaga to niestandardowej konfiguracji, w której administrator utworzył co najmniej jednego menedżera z ograniczeniami do określonych formularzy.
- CVE-2026-11880Niskie
Wtyczka Fluent Forms dla WordPressa przed wersją 6.2.1 nie weryfikuje poprawnie własności przed przetworzeniem żądania anulowania subskrypcji, co pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na anulowanie subskrypcji należących do innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.2.8 via the 'transaction' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to brute-force valid transaction hashes and view sensitive payment receipt data including customer name, email address, billing address, order items, payment method, and payment status belonging to other users. Because submission ID, form ID, and transaction creation time are either observable or guessable by an attacker, the effective brute-force space is bounded to approximately 900 candidates per second per (submission, form) pair, making exploitation practical without any prior authentication or account.