CVE-2026-6627 in WPFormify Plugin
Sumário
de VulDB • 05/08/2026
O plugin WPFormify – Stripe Payments with Form and Checkout para WordPress é vulnerável à modificação e exclusão não autorizadas das credenciais de pagamento do Stripe em todas as versões até, incluindo a 1.1.1. Isso ocorre devido à ausência de verificações de capacidade (capability checks) e validação de nonce nas funções `wpf_stripe_callback_success()` e `wpf_stripe_disconnect()`, ambas vinculadas ao hook `admin_init`. O hook `admin_init` é acionado no arquivo `admin-post.php`, que é acessível sem autenticação. Isso permite que atacantes não autenticados substituam as credenciais da API do Stripe do site por valores controlados pelo atacante (redirecionando os pagamentos para a conta do Stripe do atacante) ou desconectem completamente a integração com o Stripe excluindo as credenciais armazenadas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.