CVE-2026-97638

Nome do Software Vulnerável e Versões Afetadas Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.57.3.2

Descrição Ocorre uma Referência Direta a Objeto Insegura devido à falta de validação em uma chave controlada pelo usuário. Atacantes não autenticados podem excluir rascunhos salvos arbitrários de outros usuários e assumir esses identificadores de rascunho, sobrescrevendo-os com envios de formulários controlados pelo atacante. A exploração requer que o atacante obtenha o draft id de uma vítima, que pode ser coletado de um link compartilhado "continuar mais tarde". A verificação de nonce é ignorada porque o nonce está publicamente disponível para qualquer visitante não autenticado que carregue uma página de formulário. O problema é acionado através do parâmetro previous draft id.

Recomendações Atualize o Forminator Forms – Contact Form, Payment Form & Custom Form Builder para a versão 1.57.3.2 ou posterior.