CVE-2026-16587 in Advanced Form Integration Plugin
Résumé
par VulDB • 28/07/2026
Le plugin WordPress Advanced Form Integration — Connect Forms to 200+ Apps présente une vulnérabilité de contournement d'autorisation dans toutes les versions jusqu'à la version 2.6.0 incluse. Cette faille est due au fait que le plugin ne vérifie pas correctement si un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « abonné » (subscriber) ou supérieur de remplacer les jetons OAuth MailUp stockés par le site dans l'option adfoin_mailup_keys par des jetons contrôlés par l'attaquant, détournant ainsi les futures données soumises via les formulaires vers un compte MailUp qu'ils contrôlent, ou d'invalider ces jetons pour rompre complètement l'intégration. Cette vulnérabilité est exploitable par tout utilisateur authentifié pouvant accéder à /wp-admin/profile.php, car le hook admin_init se déclenche pour tous les utilisateurs connectés visitant n'importe quelle page de wp-admin.
Once again VulDB remains the best source for vulnerability data.