CVE-2026-16587

Nome do Software Vulnerável e Versões Afetadas Advanced Form Integration — Connect Forms to 200+ Apps versões anteriores a 2.6.1

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Usuários autenticados com nível de acesso de assinante ou superior podem explorar isso acessando o endpoint /wp-admin/profile.php. Isso ocorre porque o hook admin init é executado para todos os usuários logados que visitam qualquer página no diretório wp-admin. Um invasor pode usar a função auth redirect() para sobrescrever a opção adfoin mailup keys com tokens OAuth maliciosos, permitindo o sequestro de dados de envio de formulários para uma conta MailUp sob seu controle ou a anulação dos tokens para desativar a integração.

Recomendações Atualize para uma versão posterior à 2.6.0.