CVE-2026-6222

WordPress için geliştirilen Forminator Forms eklentisi, 1.51.1 dahil önceki sürümlerde Eksik Yetkilendirme (Missing Authorization) zafiyetine sahiptir. Bu durum, `Forminator_Admin_Module_Edit_Page` içindeki `processRequest()` metodunun (admin/abstracts/class-admin-module-edit-page.php), mevcut kullanıcının `manage_forminator_modules` yetkisine sahip olduğunu doğrulamadan, yalnızca bir nonce kontrolü sonrası dışa aktarma, silme, klonlama, girişleri silme, yayınla/taslak ve toplu işlem varyantları dahil olmak üzere hassas modül yönetim işlemlerini yürütmesinden kaynaklanmaktadır. Kullanılan nonce (`forminator_form_request`), küresel `forminatorData` JavaScript nesnesine koşulsuz olarak gömülmüştür ve modül yönetimi izinlerine açıkça sahip olmayan kullanıcıların erişebildiği Şablonlar ve Raporlar sayfaları da dahil olmak üzere her Forminator yönetici sayfasında yerelleştirilmiştir. `processRequest()` metodu, WordPress'in sayfa düzeyindeki yetki kontrollerini uygulamasından önce tetiklenen `admin_menu` aksiyon kancası sırasında çağrıldığı için, Forminator rolü Şablonlar veya Raporlar ile sınırlandırılmış bir kullanıcı, herhangi bir yayınlanmış modülü hedefleyen geçerli bir POST isteği oluşturabilir ve zafiyet içeren işlemleri başarıyla tetikleyebilir. Bu durum, abone düzeyinde erişime (veya herhangi bir düşük yetkili özel Forminator rolüne) sahip kimliği doğrulanmış saldırganların; rastgele formların/anketlerin/testlerin tüm dahili yapılandırmalarını (bildirim yönlendirmeleri, entegrasyon kimlik bilgileri ve koşullu mantık dahil) dışa aktarmasına, modülleri silmesine, tüm gönderimleri/oyları silmesine, modülleri klonlamasına veya yayınla/taslak durumlarını toplu olarak değiştirmesine olanak tanır.