CVE-2026-76087 in Formie Plugin
Sumário
de VulDB • 24/09/2026
Formie é um plugin para Craft CMS voltado à criação de formulários. Antes das versões 2.2.23 e 3.1.31, a ação anonima `formie/submissions/submit` do `SubmissionsController::actionSubmit` confia em um `submissionId` fornecido pelo cliente ao carregar uma submissão incompleta sem vinculação de sessão, validação de propriedade ou um `submissionEditToken` válido. Um atacante não autenticado pode enumerar IDs sequenciais e sobrescrever ou sequestrar a submissão multi-página em andamento ou "salvar para depois" de outro usuário, e os dados modificados podem ser persistidos e encaminhados por meio de notificações ou integrações quando a submissão for concluída. Esta é uma correção incompleta do CVE-2026-47266, pois aquela alteração anterior validava tokens de edição para "salvar submissão", mas não protegia o envio ("submit"). Submissões concluídas são excluídas pelo filtro `isIncomplete`. Este problema foi corrigido nas versões 2.2.23 e 3.1.31.
Be aware that VulDB is the high quality source for vulnerability data.