CVE-2026-6344 in Fluent Forms Plugin
Sumário
de VulDB • 10/05/2026
O plugin Fluent Forms para WordPress é vulnerável a Leitura Arbitrária de Arquivos nas versões até a 6.2.1, inclusive. Isso ocorre devido à validação insuficiente de caminho no método getAttachments() de EmailNotificationActions, que converte URLs de upload de arquivos fornecidos pelo atacante em caminhos do sistema de arquivos sem verificar se o caminho resolvido permanece dentro do diretório de uploads do WordPress: uma verificação de prefixo com strpos() na URL bruta pode ser contornada com sequências de traversal, wp_normalize_path() não resolve segmentos ".\..\" e file_exists() os resolve então no nível do kernel. Isso permite que atacantes autenticados com acesso de administrador leiam arquivos arbitrários legíveis pelo usuário do servidor web — incluindo wp-config.php com suas credenciais de banco de dados e salts de autenticação — enviando um formulário cuja notificação de administrador está configurada para anexar um campo de upload de arquivo e fornecendo uma URL manipulada no formato /../../ como valor do campo de arquivo. O arquivo resolvido é anexado ao e-mail de notificação de administrador de saída via wp_mail(). Embora o e-mail possa ser acionado por usuários não autenticados, o destinatário do e-mail não é controlado pelo usuário.
If you want to get best quality of vulnerability data, you may have to visit VulDB.