PT-2026-40870 · WordPress · Fluent Forms

Sander Horsman · Publicado 2026-05-14 · Atualizado 2026-05-14 · CVE-2026-5396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Fluent Forms versões anteriores a 6.1.22

Descrição Existe uma falha de bypass de autorização na classe SubmissionPolicy, que autoriza ações de nível de submissão, como leitura, modificação, exclusão e adição de notas, com base em um parâmetro de consulta form id fornecido pelo usuário. Atacantes autenticados com acesso de Gerente do Fluent Forms restrito a formulários específicos podem falsificar o parâmetro form id para acessar, modificar o status, adicionar notas ou excluir permanentemente submissões de formulários pertencentes a qualquer outro formulário.

Recomendações Atualize para a versão 6.1.22 ou posterior.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-5396

Produtos afetados

Fluent Forms

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2026-5396 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/81aad41e-0330-4dff-a5f8-08a108d724f5?source=cve · Nota
• https://t.me/CVEtracker/53741 · Publicação no Telegram
• https://twitter.com/KaitanSecurity/status/2054811467128430780 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?old_path=/fluentform/tags/6.1.21/app/Http/Policies/SubmissionPolicy.php&new_path=/fluentform/tags/6.2.0/app/Http/Policies/SubmissionPolicy.php · Nota
• https://twitter.com/VulmonFeeds/status/2054939655863234857 · Publicação no Twitter