CVE-2026-76086 in Formie Plugin
Сводка
по VulDB • 24.09.2026
Formie — это плагин для Craft CMS, предназначенный для создания форм. До версий 2.2.23 и 3.1.31 действие панели управления formie/integrations/form-settings в классе IntegrationsController::actionFormSettings было доступно без необходимых прав на интеграцию с формой, а также передавало настройки, полученные из запроса, настроенной интеграции. Атакующий, прошедший аутентификацию, может подменить свойства исходящего хоста, такие как apiUrl, пока сервер использует сохранённые API-ключи или токены OAuth, что приводит к неслепым server-side requests (запросам на стороне сервера) к контролируемому злоумышленником или внутреннему хосту и возврату удалённого ответа. Эта остаточная уязвимость сохранилась из-за того, что шлюз разрешений, добавленный в версии 3.1.28, исключал действие form-settings. Таким образом, сайты, допускающие аутентификацию пользователей с низкими привилегиями или через фронтенд, могут подвергнуть риску раскрытию учётные данные интеграций и ответы внутренней сети. Эта проблема исправлена в версиях 2.2.23 и 3.1.31.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.