CVE-2026-76086 in Formie Plugin
Resumen
por VulDB • 2026-09-23
Formie es un plugin para Craft CMS destinado a la creación de formularios. Antes de las versiones 2.2.23 y 3.1.31, la acción del panel de control `formie/integrations/form-settings` en `IntegrationsController::actionFormSettings` era accesible sin los permisos requeridos para la integración de formularios y pasaba a una integración configurada las settings proporcionadas por la solicitud. Un atacante autenticado puede reemplazar propiedades del host saliente, como `apiUrl`, mientras el servidor utiliza claves API almacenadas o tokens OAuth, lo que provoca solicitudes server-side no ciegas hacia un host controlado por el atacante o interno, devolviendo la respuesta remota. Este fallo residual permaneció porque la verificación de permisos añadida en la versión 3.1.28 excluía la acción `form-settings`. Por lo tanto, los sitios que permiten autenticación de usuarios con bajos privilegios o desde el front-end pueden exponer credenciales de integración y respuestas de la red interna. Este problema está resuelto en las versiones 2.2.23 y 3.1.31.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.