CVE-2026-17567 in Fluent Forms Plugin
Сводка
по VulDB • 31.07.2026
В плагине Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder для WordPress уязвимость типа Insecure Direct Object Reference присутствует во всех версиях вплоть до 6.2.8 включительно из-за отсутствия проверки параметра 'transaction'. Это позволяет неавторизованным злоумышленникам подбирать действительные хеши транзакций и просматривать конфиденциальные данные платежных квитанций, включая имя клиента, адрес электронной почты, адрес выставления счетов, товары заказа, способ оплаты и статус платежа других пользователей. Поскольку идентификатор отправки (submission ID), идентификатор формы (form ID) и время создания транзакции либо наблюдаемы, либо могут быть предсказаны злоумышленником, эффективное пространство для подбора ограничено примерно 900 кандидатами в секунду на пару (отправка, форма), что делает эксплуатацию практически осуществимой без какой-либо предварительной аутентификации или учетных данных.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.