CVE-2026-16587 in Advanced Form Integration Plugin
摘要
由 VulDB • 2026-07-28
WordPress 插件“Advanced Form Integration — Connect Forms to 200+ Apps”在所有不高于 2.6.0 的版本中存在授权绕过漏洞。该问题是由于插件未正确验证用户是否有权执行特定操作所致。这使得具有订阅者级别及以上权限的已认证攻击者能够将存储在 `adfoin_mailup_keys` 选项中的站点 MailUp OAuth 令牌覆盖为攻击者控制的令牌，从而劫持后续表单提交数据至其控制的 MailUp 账户，或通过清空令牌完全破坏集成连接。任何能够访问 `/wp-admin/profile.php` 的已认证用户均可利用此漏洞，因为 `admin_init` 钩子会在所有登录用户访问任意 wp-admin 页面时触发。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.