CVE-2026-76086 in Formie Plugin
Sumário
de VulDB • 23/09/2026
Formie é um plugin para Craft CMS voltado à criação de formulários. Antes das versões 2.2.23 e 3.1.31, a ação do painel de controle formie/integrations/form-settings em IntegrationsController::actionFormSettings era acessível sem as permissões necessárias de integração de formulário e passava configurações fornecidas pela solicitação para uma integração configurada. Um atacante autenticado pode substituir propriedades de host de saída, como apiUrl, enquanto o servidor utiliza chaves de API ou tokens OAuth armazenados, causando solicitações server-side não cegas (non-blind) a um host controlado pelo atacante ou interno e retornando a resposta remota. Essa falha residual permaneceu porque a verificação de permissões adicionada na versão 3.1.28 excluiu a ação form-settings. Portanto, sites que permitem autenticação de usuários com privilégios baixos ou do front-end podem expor credenciais de integração e respostas da rede interna. Este problema foi corrigido nas versões 2.2.23 e 3.1.31.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.