CVE-2026-104797

WordPress için geliştirilen Advanced Form Integration — Connect Forms to 300+ Apps eklentisinin 2.9.0 dahil tüm sürümleri, Doğrulanmamış Şifre Değişimi yoluyla Kimlik Doğrulama Atlatma zafiyetine sahiptir. Ultimate Member "Update Profile Field" işlemini yürüten `adfoin_ultimatememberac_send_data` fonksiyonu; hedef WordPress kullanıcısını saldırgan tarafından sağlanan bir e-posta adresinden çözümlemektedir ve saldırganın kontrolündeki alan anahtarını ile değerini doğrudan `account` bağlamında `UM()->user()->update_profile()` fonksiyonuna aktarmaktadır. Bu işlem, gönderici kimlik doğrulaması, sahiplik kontrolü, yetki kontrolü, mevcut şifre ile yeniden kimlik doğrulama veya `user_pass` gibi hassas anahtarlar üzerinde herhangi bir kısıtlama uygulamadan gerçekleştirilmekte olup, Ultimate Member'ın yasaklı anahtar doğrulamasını açıkça atlamaktadır. Bu durum, kimliği doğrulanmamış saldırganların, hedef e-posta ve alan anahtarı olarak `user_pass` içeren genel bir Contact Form 7 formu göndererek Yönetici hesapları da dahil olmak üzere herhangi bir WordPress kullanıcı hesabının şifresini değiştirmesine ve böylece sitenin tamamen ele geçirilmesine olanak tanır. İstismarın gerçekleşmesi için bir yöneticinin, genel form girişlerinden gelen hedef e-postayı, alan anahtarını ve değeri Ultimate Member Update Profile Field işlemiyle eşleştiren bir Contact Form 7 entegrasyonunu önceden yapılandırmış olması gerekir; bu iş akışı, eklentinin kendi kullanıcı arayüzünde bu işlem türü için önerdiği yöntemdir.