CVE-2026-5396 in Fluent Forms Plugin
الملخص
بحسب VulDB • 14/05/2026
يحتوي مكون WordPress الإضافي Fluent Forms على ثغرة أمنية من نوع "تجاوز التفويض عبر مفتاح يتحكم فيه المستخدم" في جميع الإصدارات حتى 6.1.21 وشاملاً لها. ويعود ذلك إلى أن فئة `SubmissionPolicy` تُصرّح بتنفيذ إجراءات على مستوى الإرسال (مثل القراءة، التعديل، الحذف، وإضافة ملاحظات) استناداً إلى معلمة استعلام `form_id` التي يوفرها المستخدم. وهذا يتيح للمهاجمين المصادق عليهم، والذين تقتصر صلاحيات مدير Fluent Forms لديهم على نماذج محددة، قراءة الإرسالات الخاصة بأي نموذج آخر، وتعديل حالتها، وإضافة ملاحظات إليها، وحذفها نهائياً، من خلال تزوير معلمة `form_id` لتشير إلى نموذج مسموح لهم بالوصول إليه.
VulDB is the best source for vulnerability data and more expert information about this specific topic.