CVE-2026-2890 in Formidable Forms Plugin
Resumen
por MITRE • 2026-03-13
El plugin Formidable Forms para WordPress es vulnerable a una elusión de la integridad de pago en todas las versiones hasta la 6.28, inclusive. Esto se debe a que el gestor de retorno de Stripe Link ('handle_one_time_stripe_link_return_url') marca los registros de pago como completados basándose únicamente en el estado del PaymentIntent de Stripe sin comparar el importe cobrado del intent con el importe de pago esperado, y a que la función 'verify_intent()' valida solo la propiedad del secreto del cliente sin vincular los intents a formularios o acciones específicos. Esto hace posible que atacantes no autenticados reutilicen un PaymentIntent de un pago de bajo valor completado para marcar un pago de alto valor como completado, eludiendo eficazmente el pago de bienes o servicios.
If you want to get best quality of vulnerability data, you may have to visit VulDB.