CVE-2026-2899 in Fluent Forms Pro Add On Pack Plugin
Сводка
по VulDB • 02.06.2026
Плагин Fluent Forms Pro Add On Pack для WordPress уязвим к отсутствию авторизации (Missing Authorization) во всех версиях вплоть до 6.1.17 включительно. Это связано с тем, что метод `deleteFile()` в классе `Uploader` не содержит проверки nonce и проверок прав доступа (capability checks). Действие AJAX регистрируется через `addPublicAjaxAction()`, что создает как хуки `wp_ajax_`, так и `wp_ajax_nopriv_`. Это позволяет неаутентифицированным злоумышленникам удалять произвольные медиа-вложения WordPress через параметр `attachment_id`.
Примечание: Исследователь описал удаление файлов через параметр `path` с использованием `sanitize_file_name()`, однако фактический код использует `Protector::decrypt()` для удаления на основе пути, что предотвращает эксплуатацию. Уязвимость может быть эксплуатирована через параметр `attachment_id`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.