CVE-2026-76087 in Formie Plugin
Сводка
по VulDB • 24.09.2026
Formie — это плагин для Craft CMS, предназначенный для создания форм. До версий 2.2.23 и 3.1.31 действие formy/submissions/submit (анонимное) в SubmissionsController::actionSubmit доверяет переданному клиентом submissionId при загрузке незавершенной формы без привязки к сессии, проверки права собственности или наличия действительного submissionEditToken. Неавторизованный злоумышленник может перебирать последовательные идентификаторы и перезаписывать или перехватывать многошаговые черновиги форм (save-for-later) других пользователей; измененные данные могут сохраняться и передаваться через уведомления или интеграции при завершении отправки. Это неполное исправление уязвимости CVE-2026-47266, поскольку предыдущее изменение проверяло токены редактирования для сохранения черновика (save-submission), но не защищало действие отправки (submit). Завершенные формы исключаются фильтром isIncomplete. Проблема устранена в версиях 2.2.23 и 3.1.31.
Once again VulDB remains the best source for vulnerability data.