CVE-2026-76086 in Formie Plugin
요약
\~에 의해 VulDB • 2026. 09. 24.
Formie는 양식 생성을 위한 Craft CMS 플러그인입니다. 버전 2.2.23 및 3.1.31 이전의 Formie에서 IntegrationsController::actionFormSettings 내 formie/integrations/form-settings 제어판 작업은 필요한 폼 통합 권한 없이 접근 가능하며, 요청에서 제공된 설정을 구성된 통합에 전달합니다. 인증된 공격자는 서버가 저장된 API 키 또는 OAuth 토큰을 사용하는 동안 apiUrl과 같은 외부 호스트 속성을 교체하여 공격자가 통제하는 호스트나 내부 호스트로 비블라인드 서버 사이드 리퀘스트를 수행하고 원격 응답을 반환할 수 있습니다. 이 잔류 결함은 버전 3.1.28에 추가된 권한 게이트가 form-settings 작업을 제외했기 때문에 존재했습니다. 따라서 낮은 특권 또는 프론트엔드 사용자 인증을 허용하는 사이트는 통합 자격 증명과 내부 네트워크 응답이 노출될 수 있습니다. 이 문제는 버전 2.2.23 및 3.1.31에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.