CVE-2026-13459

Nome do Software Vulnerável e Versões Afetadas JetFormBuilder — Dynamic Blocks Form Builder versões anteriores a 3.6.4

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados recuperem cada valor distinto armazenado sob qualquer chave wp postmeta arbitrária no site. Isso inclui informações de identificação pessoal (PII) de faturamento do WooCommerce, como os campos billing email, billing phone e billing address, totais de pedidos, caminhos de anexo e credenciais ou tokens de plugins de terceiros armazenados nos metadados de postagens. A exploração é possível se o site tiver pelo menos um formulário JetFormBuilder publicado com um campo onde a generator function esteja definida como get from db. O atacante deve fornecer um ID de formulário, nome de campo e ID de gerador correspondentes na requisição, os quais podem ser descobertos navegando pelos formulários públicos do site.

Recomendações Atualize para a versão 3.6.4 ou posterior.