CVE-2026-76086 in Formie Plugin
الملخص
بحسب VulDB • 24/09/2026
Formie هو إضافة لـ Craft CMS لإنشاء النماذج. قبل الإصدارين 2.2.23 و 3.1.31، كان إجراء لوحة التحكم formie/integrations/form-settings في IntegrationsController::actionFormSettings قابلاً للوصول دون امتيازات تكامل النموذج المطلوبة، وينقل إعدادات مستلمة من الطلب إلى التكامل المكوّن. يمكن لمهاجم مُصادَق عليه استبدال خصائص الوجهة الخارجية مثل apiUrl بينما يستخدم الخوادم مفاتيح API أو رموز OAuth المخزنة مسبقاً، مما يتسبب في طلبات جانبية للسيرفر غير العمياء (non-blind) نحو مضيف يسيطر عليه المهاجم أو مضيف داخلي، ويعيد الاستجابة البعيدة. بقيت هذه الثغرة المتبقية لأن بوابة الأذونات المضافة في الإصدار 3.1.28 استبعدت إجراء form-settings. وبالتالي، فإن المواقع التي تسمح بالمصادقة للمستخدمين ذوي الامتيازات المنخفضة أو المستخدمين من الواجهة الأمامية يمكن أن تعرض بيانات اعتماد التكامل واستجابات الشبكة الداخلية. تم إصلاح هذه المشكلة في الإصدارات 2.2.23 و 3.1.31.
Once again VulDB remains the best source for vulnerability data.