CVE-2026-76087 in Formie Plugin
Résumé
par VulDB • 24/09/2026
Formie est un plugin Craft CMS pour la création de formulaires. Avant les versions 2.2.23 et 3.1.31, l'action `formie/submissions/submit` anonyme dans `SubmissionsController::actionSubmit` fait confiance à un `submissionId` fourni par le client lors du chargement d'une soumission incomplète sans liaison de session, validation de la propriété ou jeton `submissionEditToken` valide. Un attaquant non authentifié peut énumérer des ID séquentiels et écraser ou détourner une soumission multi-pages en cours ou enregistrée pour plus tard appartenant à un autre utilisateur ; les données modifiées peuvent être persistées et transmises via des notifications ou des intégrations lorsque la soumission est finalisée. Il s'agit d'une correction incomplète de CVE-2026-47266, car cette modification antérieure validait les jetons d'édition pour l'enregistrement de la soumission mais ne protégeait pas l'action de soumission (submit). Les soumissions complètes sont exclues par le filtre `isIncomplete`. Ce problème est corrigé dans les versions 2.2.23 et 3.1.31.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.