CVE-2026-5396
Açıklama
WordPress için Fluent Forms eklentisi, 6.1.21 dahil önceki tüm sürümlerde Kullanıcı Kontrollü Anahtar Aracılığıyla Yetkilendirme Atlatma zafiyetine sahiptir. Bu durum, SubmissionPolicy sınıfının gönderim düzeyindeki işlemleri (okuma, değiştirme, silme, not ekleme), kullanıcı tarafından sağlanan bir `form_id` sorgu parametresine dayanarak yetkilendirmesinden kaynaklanmaktadır. Bu durum, Fluent Forms Manager erişimi belirli formlarla sınırlandırılmış kimliği doğrulanmış saldırganların, `form_id` parametresini yetkili oldukları bir formla taklit ederek herhangi bir diğer forma ait form gönderimlerini okumasına, durumunu değiştirmesine, notlar eklemesine ve kalıcı olarak silmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| techjewel Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder | v ≤ 6.1.21 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.