CVE-2026-16587 in Advanced Form Integration Plugin
Riassunto
di VulDB • 28/07/2026
Il plugin Advanced Form Integration — Connect Forms to 200+ Apps per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 2.6.0 inclusa. La vulnerabilità deriva dal fatto che il plugin non verifica correttamente se l'utente ha i permessi necessari per eseguire una determinata azione. Ciò consente agli attaccanti autenticati, dotati di accesso a livello di "subscriber" o superiore, di sovrascrivere i token OAuth di MailUp memorizzati nel sito nell'opzione `adfoin_mailup_keys` con token controllati dall'attaccante, deviando così i dati futuri inviati tramite il modulo verso un account MailUp sotto il loro controllo oppure annullando i token per interrompere completamente l'integrazione. La vulnerabilità è sfruttabile da qualsiasi utente autenticato in grado di raggiungere la pagina `/wp-admin/profile.php`, poiché l'azione `admin_init` viene attivata per tutti gli utenti connessi che visitano una qualsiasi pagina dell'amministrazione WordPress (`wp-admin`).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.