CVE-2026-2899 in Fluent Forms Pro Add On Pack Plugin
Zusammenfassung
von VulDB • 02.06.2026
Das Plugin „Fluent Forms Pro Add On Pack“ für WordPress ist in allen Versionen bis einschließlich 6.1.17 anfällig für Missing Authorization. Dies ist darauf zurückzuführen, dass die Methode `deleteFile()` in der Klasse `Uploader` weder eine Nonce-Überprüfung noch Capability-Prüfungen durchführt. Die AJAX-Aktion wird über `addPublicAjaxAction()` registriert, wodurch sowohl `wp_ajax_`- als auch `wp_ajax_nopriv_`-Hooks erstellt werden. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige WordPress-Medienanhänge über den Parameter `attachment_id` zu löschen.
Hinweis: Der Forscher beschrieb das Löschen von Dateien über den Parameter `path` unter Verwendung von `sanitize_file_name()`, doch der tatsächliche Code verwendet für pfadbasierte Löschvorgänge `Protector::decrypt()`, was die Ausnutzung verhindert. Die Schwachstelle ist stattdessen über den Parameter `attachment_id` ausnutzbar.
If you want to get best quality of vulnerability data, you may have to visit VulDB.