CVE-2026-76086 in Formie Plugin
要約
〜によって VulDB • 2026年09月23日
Formieは、フォーム作成のためのCraft CMSプラグインです。バージョン2.2.23および3.1.31以前では、IntegrationsController::actionFormSettingsにおけるFormieのformie/integrations/form-settingsコントロールパネルアクションが、必要なフォーム統合権限なしでアクセス可能であり、リクエストから提供された設定を構成済みのインテグレーションに渡します。認証済み攻撃者は、サーバーが保存されたAPIキーやOAuthトークンを使用している間にapiUrlなどの送信先ホストプロパティを書き換えることができ、これにより攻撃者が制御するホストまたは内部ホストに対する非ブラインドなサーバーサイドリクエストが発生し、リモートレスポンスが返されます。この残留欠陥は、バージョン3.1.28で追加された権限ゲートがform-settingsアクションを除外していたために残っていました。したがって、低特権ユーザーやフロントエンドのユーザー認証を許可するサイトでは、インテグレーション資格情報および内部ネットワークレスポンスが漏洩する可能性があります。この問題はバージョン2.2.23および3.1.31で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.