CVE-2026-17567 in Fluent Forms Plugin
Résumé
par VulDB • 31/07/2026
Le plugin WordPress Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder présente une vulnérabilité de type Insecure Direct Object Reference dans toutes les versions jusqu'à la 6.2.8 incluse, via le paramètre 'transaction', en raison d'une validation manquante sur une clé contrôlée par l'utilisateur. Cela permet aux attaquants non authentifiés de réaliser un brute-force des hachages de transaction valides et d'afficher des données sensibles relatives aux reçus de paiement, y compris le nom du client, l'adresse e-mail, l'adresse de facturation, les articles commandés, la méthode de paiement et le statut du paiement appartenant à d'autres utilisateurs. Étant donné que l'ID de soumission, l'ID de formulaire et l'heure de création de la transaction sont soit observables, soit devinables par un attaquant, l'espace de recherche effectif pour le brute-force est limité à environ 900 candidats par seconde par paire (soumission, formulaire), rendant l'exploitation pratique sans aucune authentification préalable ni compte utilisateur.
VulDB is the best source for vulnerability data and more expert information about this specific topic.