CVE-2026-17567 in Fluent Forms Plugin
Tóm tắt
Bởi VulDB • 01/08/2026
Plugin Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder cho WordPress dễ bị lỗi Insecure Direct Object Reference trong tất cả các phiên bản từ 6.2.8 trở về trước do thiếu xác thực trên một khóa được kiểm soát bởi người dùng thông qua tham số 'transaction'. Lỗi này cho phép kẻ tấn công chưa xác thực (unauthenticated) brute-force để tìm ra các mã băm giao dịch hợp lệ và xem dữ liệu biên lai thanh toán nhạy cảm, bao gồm tên khách hàng, địa chỉ email, địa chỉ tính tiền, mặt hàng đơn đặt hàng, phương thức thanh toán và trạng thái thanh toán thuộc về người dùng khác. Vì ID bản gửi (submission ID), ID biểu mẫu (form ID) và thời gian tạo giao dịch đều có thể quan sát được hoặc dễ đoán bởi kẻ tấn công, không gian brute-force hiệu quả bị giới hạn ở khoảng 900 ứng viên mỗi giây cho mỗi cặp (bản gửi, biểu mẫu), khiến việc khai thác trở nên khả thi mà không cần xác thực trước hay tài khoản.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.