PT-2026-36978 · WordPress · Forminator

Kittipat Jitphonchana · Publicado 2026-05-05 · Atualizado 2026-05-05 · CVE-2026-2729

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Forminator plugin for WordPress versões anteriores a 1.53.0

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente a autorização do usuário ao processar identificadores de Stripe PaymentIntent no fluxo de pagamento público. Isso permite que atacantes não autenticados enviem formulários pagos de alto valor como concluídos, reutilizando um Stripe PaymentIntent de baixo valor previamente bem-sucedido, resultando em condições de bypass de pagamento ou subpagamento.

Recomendações Atualize o plugin para uma versão posterior a 1.52.0.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-2729

Produtos afetados

Forminator

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2026-2729 · Nota de Segurança
• https://t.me/CVEtracker/52718 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2051595418946175329 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3500669/forminator · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/1afb94ab-b3ba-4598-8ff4-f9ffc6717371?source=cve · Nota
• https://t.me/cveNotify/162143 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2051596902785773724 · Publicação no Twitter