CVE-2026-24610
Subscriber Broken Access Control in MetForm Pro <= 3.9.1 versions.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
SEGURIDAD DE PLUGINS
¿Es seguro Metform Pro?
Most popular Elementor forms builder to create WordPress forms like contact forms, booking forms, feedback form, survey forms, application forms & …
Qué hace este plugin
- Slug:
metform-pro - Autor: Roxnor
- 600000+ instalaciones activas
- 94/100 calificación (500 reseñas en wordpress.org)
- 9497822 descargas totales
- En WordPress.org desde 2019-08-29
contact form buildercustom formelementor formform builderMulti-Step Form
Estado de mantenimiento
- Última actualización: 2026-07-22 9:21am GMT
- Probado hasta WordPress: 7.0.2
- Requiere PHP: 7.4+
Vulnerabilidades conocidas
4 CVEs conocidos registrados para Metform Pro.
| CVE | Vulnerabilidad | Tipo | Gravedad | Afectadas | Corregido en | Publicado | Estado |
|---|---|---|---|---|---|---|---|
| CVE-2026-24610 | MetForm Pro [metform-pro] <= 3.9.1 (unfixed) | Falta de control de autorización | Media 4,3 | < 3.9.1 | 3.9.1 | 2026-06-17 | — |
| CVE-2026-24611 | MetForm Pro [metform-pro] <= 3.9.1 (unfixed) | Falta de control de autorización | Crítica 9,1 | < 3.9.1 | 3.9.1 | 2026-03-12 | — |
| CVE-2026-1261 | MetForm Pro [metform-pro] < 3.9.7 | — | Desconocido | < 3.9.7 | 3.9.7 | 0000-00-00 | — |
| CVE-2026-1782 | MetForm Pro [metform-pro] < 3.9.8 | — | Media 5,3 | < 3.9.8 | 3.9.8 | 0000-00-00 | — |
CVE-2026-24611
The MetForm Pro plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on a function in versions up to, and including, 3.9.8. This makes it possible for unauthenticated attackers to perform an unauthorized action.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
CVE-2026-1261
The MetForm Pro plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Quiz feature in all versions up to, and including, 3.9.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
CVE-2026-1782
The MetForm Pro plugin for WordPress is vulnerable to Improper Input Validation in all versions up to, and including, 3.9.7 This is due to the payment integrations (Stripe/PayPal) trusting a user-submitted calculation field value without recomputing or validating it against the configured form price. This makes it possible for unauthenticated attackers to manipulate the payment amount via the 'mf-calculation' field in the form submission REST request granted there exists a specific form with this particular configuration.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
Cómo solucionarlo
Actualiza este plugin a la última versión de wordpress.org — cada CVE de arriba indica la versión exacta que lo corrigió ("Corregido en") cuando hay una registrada.
Este es el historial completo de vulnerabilidades conocidas del plugin, no un escaneo de una instalación específica — ejecuta un escaneo gratis de tu propio sitio para verificar tu versión instalada exacta.
Alternativas más seguras / más establecidas
- WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More — 5000000+ instalaciones activas — 96/100 (14360)
- Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder — 700000+ instalaciones activas — 96/100 (780) — PHP máx. <8.0
- Forminator Forms – Contact Form, Payment Form & Custom Form Builder — 600000+ instalaciones activas — 96/100 (2105)
- Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More — 300000+ instalaciones activas — 96/100 (1377)
- Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI — 90000+ instalaciones activas — 98/100 (374)
Verifica tu propio sitio WordPress
Ejecuta un escaneo pasivo gratis ahora, o crea una cuenta gratuita e instala el plugin de WP Clinic para un escaneo profundo de toda tu cuenta de hosting y reparación asistida por IA.