Sander Horsman

**Nome do Software Vulnerável e Versões Afetadas** Fluent Forms versões anteriores a 6.1.22 **Descrição** Existe uma falha de bypass de autorização na classe `SubmissionPolicy`, que autoriza ações de nível de submissão, como leitura, modificação, exclusão e adição de notas, com base em um parâmetro de consulta `form id` fornecido pelo usuário. Atacantes autenticados com acesso de Gerente do Fluent Forms restrito a formulários específicos podem falsificar o parâmetro `form id` para acessar, modificar o status, adicionar notas ou excluir permanentemente submissões de formulários pertencentes a qualquer outro formulário. **Recomendações** Atualize para a versão 6.1.22 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder versões anteriores a 6.2.1 **Descrição** Uma Referência Direta a Objeto Insegura (IDOR) existe na função `exportEntries()` devido à falta de validação em uma chave controlada pelo usuário. Isso permite que atacantes autenticados com acesso de nível de gerente ou superior ignorem as restrições de nível de formulário para acessar envios de formulários não autorizados, exportar dados de tabelas arbitrárias do banco de dados e enumerar nomes de tabelas do banco de dados por meio da divulgação de mensagens de erro. **Recomendações** Atualize para uma versão posterior a 6.2.0. Como medida paliativa temporária, restrinja o acesso à função `exportEntries()` para usuários com permissões de nível de gerente até que a atualização seja aplicada.

The MW WP Form plugin for WordPress is vulnerable to Arbitrary File Move/Read in all versions up to and including 5.1.1. This is due to insufficient validation of the $name parameter (upload field key) passed to the generate user file dirpath() function, which uses WordPress's path join() — a function that returns absolute paths unchanged, discarding the intended base directory. The attacker-controlled key is injected via the mwf upload files[] POST parameter, which is loaded into the plugin's Data model via set request valiables(). During form processing, regenerate upload file keys() iterates over these keys and calls generate user filepath() with the attacker-supplied key as the $name argument — the key survives validation because the targeted file (e.g., wp-config.php) genuinely exists at the absolute path. The get attachments() method then re-reads the same surviving keys and passes the resolved file path to move temp file to upload dir(), which calls rename() to move the file into the uploads folder. This makes it possible for unauthenticated attackers to move arbitrary files on the server, which can easily lead to remote code execution when the right file is moved (such as wp-config.php). The vulnerability is only exploitable if a file upload field is added to the form and the “Saving inquiry data in database” option is enabled.