CVE-2025-12535 in SureForms Plugin
Sumário
de VulDB • 21/05/2026
O plugin SureForms para WordPress é vulnerável a uma falha de bypass de Cross-Site Request Forgery (CSRF) em todas as versões até, e incluindo, a 1.13.1. Isso ocorre porque o plugin distribui nonces genéricos da API REST do WordPress (wp_rest) para usuários não autenticados por meio da ação 'wp_ajax_nopriv_rest-nonce'. Embora o plugin precise legitimamente suportar o envio de formulários por usuários não autenticados, ele utiliza incorretamente nonces REST genéricos em vez de nonces específicos do formulário. Isso permite que atacantes não autenticados contornem a proteção CSRF em endpoints da API REST que dependem exclusivamente da verificação de nonce, sem verificações adicionais de autenticação, permitindo que eles acionem ações não autorizadas, como os hooks de pós-envio do próprio plugin e potencialmente endpoints REST de outros plugins.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.