CVE-2026-17567

Nome do Software Vulnerável e Versões Afetadas Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder versões anteriores a 6.2.9

Descrição Existe uma Referência Direta a Objeto Insegura (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Atacantes não autenticados podem realizar força bruta em hashes de transação válidos usando o parâmetro transaction para visualizar dados sensíveis de recibos de pagamento de outros usuários, incluindo nomes de clientes, endereços de e-mail, endereços de cobrança, itens do pedido, métodos de pagamento e status do pagamento. Isso é possível porque o ID de envio, o ID do formulário e o tempo de criação da transação são observáveis ou previsíveis, limitando o espaço de força bruta a aproximadamente 900 candidatos por segundo por par de envio e formulário.

Recomendações Atualize o plugin para a versão 6.2.9 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao parâmetro transaction para minimizar o risco de exposição não autorizada de dados.