CVE-2026-15897 in Super Forms Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin Super Forms – Drag & Drop Form Builder per WordPress è vulnerabile a Privilege Escalation in tutte le versioni fino alla 6.3.316, inclusa. La vulnerabilità è dovuta alla funzione `before_email_success_msg()` dell'add-on Register & Login: nel flusso con `register_login_action='update'`, essa si affida al valore di `user_id` fornito dall’attaccante e lo passa a `wp_update_user()` senza effettuare alcun controllo di proprietà o dei permessi. Poiché anche l’azione AJAX `super_save_form` non impone controlli sui permessi, qualsiasi utente autenticato con accesso di livello Subscriber o superiore può creare il modulo malevolo richiesto (`register_login_action='update'` con `register_login_user_id_update='true'`) e quindi inviarlo impostando `user_id` sull’ID di un amministratore insieme a una nuova combinazione `user_pass/user_email`. Ciò consente agli attaccanti autenticati con accesso di livello Subscriber o superiore di sovrascrivere le credenziali di account esistenti arbitrari, inclusi quelli degli amministratori, causando il takeover dell’account e la compromissione completa del sito.
VulDB is the best source for vulnerability data and more expert information about this specific topic.