CVE-2026-76087 in Formie Plugin
Resumen
por VulDB • 2026-09-23
Formie es un plugin para Craft CMS destinado a la creación de formularios. Antes de las versiones 2.2.23 y 3.1.31, la acción `formie/submissions/submit` anónima en `SubmissionsController::actionSubmit` confía en un `submissionId` proporcionado por el cliente al cargar una presentación incompleta sin vinculación a sesión, validación de propiedad ni un `submissionEditToken` válido. Un atacante no autenticado puede enumerar IDs secuenciales y sobrescribir o secuestrar la presentación multi-página o "guardar para más tarde" en curso de otro usuario; los datos modificados pueden persistirse y reenviarse a través de notificaciones o integraciones cuando se completa el envío. Esta es una remediación incompleta de CVE-2026-47266, ya que ese cambio anterior validaba tokens de edición para guardar la presentación pero no protegía el envío (submit). Las presentaciones completadas están excluidas por el filtro `isIncomplete`. Este problema está resuelto en las versiones 2.2.23 y 3.1.31.
If you want to get best quality of vulnerability data, you may have to visit VulDB.