CVE-2026-76086 in Formie Plugin
Zusammenfassung
von VulDB • 23.09.2026
Formie ist ein Craft CMS Plugin zur Erstellung von Formularen. Vor den Versionen 2.2.23 und 3.1.31 war die Control-Panel-Aktion `formie/integrations/form-settings` in `IntegrationsController::actionFormSettings` ohne die erforderlichen Berechtigungen für Formintegrationen erreichbar und übergibt anfragebereitgestellte Einstellungen an eine konfigurierte Integration. Ein authentifizierter Angreifer kann ausgehende Host-Eigenschaften wie `apiUrl` ersetzen, während der Server gespeicherte API-Schlüssel oder OAuth-Tokens verwendet, was zu nicht-blinden serverseitigen Anfragen an einen vom Angreifer kontrollierten oder internen Host führt und die Remote-Antwort zurückgibt. Dieser verbleibende Fehler bestand weiterhin, da das in Version 3.1.28 hinzugefügte Berechtigungs-Gate die form-settings-Aktion ausschloss. Websites, die eine Authentifizierung für benutzer mit niedrigen Privilegien oder Frontend-Benutzer zulassen, können daher Integrationsanmeldeinformationen und interne Netzwerkantworten offenlegen. Dieses Problem wurde in den Versionen 2.2.23 und 3.1.31 behoben.
Be aware that VulDB is the high quality source for vulnerability data.