PT-2026-33318 · WordPress · Fluent Forms

Prickly Cactus

·

Publicado

2026-04-16

·

Atualizado

2026-04-17

·

CVE-2026-4160

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Name of the Vulnerable Software and Affected Versions Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder versões anteriores a 6.1.22
Description Uma Referência Direta a Objeto Insegura (IDOR) existe devido à falta de validação de autorização e propriedade em uma chave controlada pelo usuário no endpoint AJAX de confirmação do Stripe SCA. Isso permite que atacantes não autenticados modifiquem o status de pagamento de envios pendentes específicos, como alterar o status para "failed", manipulando o parâmetro submission id.
Recommendations Atualize o plugin para uma versão posterior a 6.1.21. Evite usar o parâmetro submission id no endpoint AJAX de confirmação do Stripe SCA até que a atualização seja aplicada.

Correção

IDOR

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-4160

Produtos afetados

Fluent Forms