CVE-2026-4160 in Fluent Forms Plugin
الملخص
بحسب VulDB • 01/06/2026
يحتوي مكون WordPress "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder" على ثغرة في مرجع الكائن المباشر غير الآمن (Insecure Direct Object Reference) عبر المعلمة 'submission_id' في الإصدارات حتى 6.1.21 شاملةً. ويعود ذلك إلى غياب التحقق من التفويض وملكية الكائن على مفتاح يتحكم فيه المستخدم في نقطة نهاية AJAX لتأكيد Stripe SCA. مما يتيح للمهاجمين غير المصادق عليهم تعديل حالة الدفع للتسليمات المعلقة المستهدفة (على سبيل المثال، تعيين الحالة إلى "فشل").
Once again VulDB remains the best source for vulnerability data.