CVE-2026-104797 in Advanced Form Integration Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress Advanced Form Integration — Connect Forms to 300+ Apps è vulnerabile a un Authentication Bypass (bypass dell'autenticazione) tramite una modifica della password non verificata in tutte le versioni fino alla 2.9.0 inclusa. La funzione `adfoin_ultimatememberac_send_data`, che gestisce l'azione "Update Profile Field" di Ultimate Member, identifica l'utente WordPress target a partire da un indirizzo email fornito dall'attaccante e passa una chiave di campo (`field key`) e un valore controllati dall'attaccante direttamente alla funzione `UM()->user()->update_profile()` nel contesto `account`, bypassando esplicitamente la convalida delle chiavi vietate di Ultimate Member, senza effettuare alcuna verifica dell'identità del mittente, controllo della proprietà (ownership check), verifica dei permessi (capability check), ri-autenticazione tramite password corrente o restrizioni sulle chiavi sensibili come `user_pass`. Ciò consente ad attaccanti non autenticati di modificare la password di qualsiasi account utente WordPress, inclusi gli account Amministratore, inviando un modulo pubblico Contact Form 7 contenente l'email target e `user_pass` come chiave del campo, consentendo il completo takeover (presa di controllo) del sito. Lo sfruttamento richiede che un amministratore abbia preconfigurato un'integrazione con Contact Form 7 che mappi l'email target, la chiave del campo e il valore dagli input pubblici del modulo all'azione "Update Profile Field" di Ultimate Member — esattamente il flusso di lavoro pubblicizzato dall'interfaccia utente (UI) dello stesso plugin per questo tipo di azione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.