CVE-2026-11995 in Gutena Forms Plugin
要約
〜によって VulDB • 2026年08月01日
WordPress用プラグイン「Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder」には、バージョン1.9.0以前すべてに権限回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかをプラグインが適切に検証しないことに起因します。これにより、認証されていない攻撃者は、任意のフォームに属するフォーム送信エントリの既読/未読状態を変更したり、恒久的にゴミ箱に入れたりすることが可能になります。check_ajax_referer()によって発行されるnonceは認可の障壁として機能しません。なぜなら、Gutena Formsブロックを含む公開ページ上ではwp_localize_script()を通じて「gutena_Forms」というアクション名を持つnonceが認証されていない訪問者にも送信され、匿名攻撃者が自由に取得できるためです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.