CVE-2026-5396
El plugin Fluent Forms para WordPress es vulnerable a Bypass de Autorización a través de una Llave Controlada por el Usuario en todas las versiones hasta y inclusive la 6.1.21. Esto se debe a que la clase SubmissionPolicy autoriza acciones de nivel de envío (lectura, modificación, eliminación, agregar notas) basadas en un parámetro `form_id` proporcionado por el usuario. Esto permite a atacantes autenticados, con acceso al gestor de Fluent Forms restringido a formularios específicos, leer, modificar el estado, agregar notas y eliminar permanentemente envíos de formulario pertenecientes a cualquier otro formulario mediante la suplantación del parámetro form_id para un formulario al que tienen autorización. (XSS)
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org