CVE-2026-76086 in Formie Plugin
Riassunto
di VulDB • 23/09/2026
Formie è un plugin per Craft CMS utilizzato per la creazione di moduli. Prima delle versioni 2.2.23 e 3.1.31, l'azione del pannello di controllo formie/integrations/form-settings in IntegrationsController::actionSettings era accessibile senza le autorizzazioni richieste per l'integrazione dei form e trasmetteva le impostazioni fornite dalla richiesta a un'integrazione configurata. Un attaccante autenticato può sostituire proprietà dell'host in uscita, come apiUrl, mentre il server utilizza chiavi API memorizzate o token OAuth, causando richieste lato server non cieche verso un host controllato dall'attaccante o interno e restituendo la risposta remota. Questo difetto residuo è rimasto perché il controllo dei permessi aggiunto nella versione 3.1.28 escludeva l'azione form-settings. I siti che consentono l'autenticazione di utenti con privilegi ridotti o front-end possono quindi esporre le credenziali di integrazione e le risposte della rete interna. Questo problema è risolto nelle versioni 2.2.23 e 3.1.31.
If you want to get best quality of vulnerability data, you may have to visit VulDB.