CVE-2026-76087 in Formie Plugin
要約
〜によって VulDB • 2026年09月23日
Formieは、フォーム作成のためのCraft CMSプラグインです。バージョン2.2.23および3.1.31より前では、SubmissionsController::actionSubmitにおける匿名のformie/submissions/submitアクションが、セッションバインド、所有権検証、または有効なsubmissionEditTokenなしで不完全な送信データをロードする際に、クライアントから提供されたsubmissionIdを信頼していました。認証されていない攻撃者は連続したIDを列挙し、他のユーザーの進行中のマルチページフォームや「後で保存」機能による送信データの書き換えまたは乗っ取りを行うことができ、修正されたデータは送信完了時に通知やインテグレーションを通じて永続化・転送されます。これはCVE-2026-47266の不十分な修正です。以前の修正ではsave-submissionの編集トークンの検証が行われましたが、submitアクションは保護されていませんでした。isIncompleteフィルタによって、既に完了した送信データはこの問題の対象外となります。この問題はバージョン2.2.23および3.1.31で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.