PT-2026-40887 · WordPress · Fluent Forms

Sander Horsman · Publicado 2026-05-14 · Atualizado 2026-05-14 · CVE-2026-5395

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder versões anteriores a 6.2.1

Descrição Uma Referência Direta a Objeto Insegura (IDOR) existe na função exportEntries() devido à falta de validação em uma chave controlada pelo usuário. Isso permite que atacantes autenticados com acesso de nível de gerente ou superior ignorem as restrições de nível de formulário para acessar envios de formulários não autorizados, exportar dados de tabelas arbitrárias do banco de dados e enumerar nomes de tabelas do banco de dados por meio da divulgação de mensagens de erro.

Recomendações Atualize para uma versão posterior a 6.2.0. Como medida paliativa temporária, restrinja o acesso à função exportEntries() para usuários com permissões de nível de gerente até que a atualização seja aplicada.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-5395

Produtos afetados

Fluent Forms

Referências · 7

• https://twitter.com/KaitanSecurity/status/2054826583148417486 · Publicação no Twitter
• https://t.me/CVEtracker/53758 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2054898702783770956 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3507987/fluentform/trunk/app/Services/Transfer/TransferService.php · Nota
• https://t.me/cveNotify/163410 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/9cd12b8a-2033-4236-abcd-2a8d08e7f099?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-5395 · Nota de Segurança