CVE-2026-76087 in Formie Plugin
Zusammenfassung
von VulDB • 24.09.2026
Formie ist ein Craft CMS-Plugin zur Erstellung von Formularen. Vor den Versionen 2.2.23 und 3.1.31 vertraut die anonyme Aktion `formie/submissions/submit` in `SubmissionsController::actionSubmit` einer clientseitig bereitgestellten `submissionId`, wenn eine unvollständige Übermittlung ohne Sitzlungsbindung, Eigentumsvalidierung oder ein gültiges `submissionEditToken` geladen wird. Ein nicht authentifizierter Angreifer kann sequenzielle IDs aufzählen und die mehrseitige oder „speichern für später“-Übermittlung eines anderen Benutzers überschreiben oder übernehmen; die modifizierten Daten können persistiert werden und bei Abschluss der Übermittlung über Benachrichtigungen oder Integrationen weitergeleitet werden. Dies ist eine unvollständige Abhilfe für CVE-2026-47266, da die frühere Änderung Edit-Tokens zwar für das Speichern von Übermittlungen validierte, aber nicht den Submit-Vorgang schützte. Abgeschlossene Übermittlungen sind durch den `isIncomplete`-Filter ausgeschlossen. Dieses Problem ist in den Versionen 2.2.23 und 3.1.31 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.