CVE-2026-47266
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Formie dla Craft CMS przed wersjami 2.2.21 i 3.1.26 umożliwiała niezalogowanym użytkownikom modyfikację istniejących zgłoszeń poprzez wysłanie znanego lub odgadniętego ID zgłoszenia do endpointu formie/submissions/save-submission.
Ocena ryzyka
Nieautoryzowana modyfikacja zgłoszeń może prowadzić do naruszenia integralności danych formularzy, co może mieć wpływ na procesy biznesowe oparte na tych danych.
Rekomendacja
Zaleca się aktualizację wtyczki Formie do wersji 2.2.21 lub 3.1.26 (w zależności od używanej gałęzi) lub nowszej.
Inne podatności w Formie
Zobacz wszystkie- CVE-2026-52889Krytyczne
Formie, wtyczka Craft CMS do tworzenia formularzy, przed wersją 3.1.27 przekazuje wartości domyślne pól Hidden (np. User Agent, URL, parametry zapytania) do warstwy renderowania Twig. Nieuwierzytelniony atakujący może umieścić składnię Twig w tych wartościach, co prowadzi do wykonania kodu po stronie serwera (SSTI), potencjalnie do ujawnienia danych, modyfikacji stanu aplikacji lub zdalnego wykonania kodu.
- CVE-2026-45697Krytyczne
Formie, wtyczka do Craft CMS, przed wersjami 2.2.20 i 3.1.24 pozwala nieuwierzytelnionym użytkownikom na przesyłanie spreparowanych wartości do pól Hidden, które są interpretowane jako kod Twig podczas przetwarzania zgłoszenia. Może to prowadzić do poważnego naruszenia bezpieczeństwa witryny Craft.
Oryginalny opis (angielski, źródło NVD)
Formie is a Craft CMS plugin for creating forms. Prior to 2.2.21 and 3.1.26, unauthenticated users could modify existing submissions by posting a known or guessed submission ID to formie/submissions/save-submission. This vulnerability is fixed in 2.2.21 and 3.1.26.