CVE-2026-19857

Wtyczka Formidable Forms dla WordPressa w wersjach do 6.35 włącznie jest podatna na instalację dowolnych wtyczek poprzez parametr 'file_url'. Wynika to z niewystarczającej walidacji prefiksu URL w validate_url_is_in_s3_bucket() oraz callbacku uprawnień opierającego się wyłącznie na wspólnym tokenie dostępnym dla użytkowników z uprawnieniem frm_view_forms, bez sprawdzania install_plugins lub activate_plugins. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może zainstalować dowolne wtyczki na serwerze, o ile witryna korzysta tylko z darmowej wersji (Formidable Pro nie jest zainstalowane).

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.

Wtyczka Formidable Forms dla WordPressa jest podatna na przechowywany XSS przez parametr 'frm_user_id' we wszystkich wersjach do 6.33.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie użytkownika. Poprzez sfałszowanie frm_user_id na identyfikator administratora, atakujący może spowodować, że tylko wp_kses_post() będzie filtrem, a skrypt wykona się automatycznie.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.32.1 nieprawidłowo weryfikuje status płatności subskrypcji PayPal przed oznaczeniem jej jako zakończonej. Umożliwia to nieuwierzytelnionym użytkownikom ominięcie płatności i wyzwolenie płatnych akcji formularza — takich jak dostęp do treści cyfrowych, dostarczenie licencji i aktywacja członkostwa — bez obciążania ich.