CVE-2026-76087

Nome do Software Vulnerável e Versões Afetadas Formie versões anteriores a 2.2.23 Formie versões anteriores a 3.1.31

Description O endpoint anônimo 'formie/submissions/submit' na função SubmissionsController::actionSubmit confia em um submissionId fornecido pelo cliente ao carregar envios incompletos. Isso ocorre sem vinculação de sessão, validação de propriedade ou um submissionEditToken válido. Um invasor não autenticado pode enumerar IDs sequenciais para sobrescrever ou sequestrar o envio em andamento de outro usuário em formulários de várias páginas ou com a função de salvar para depois. Os dados modificados podem então ser persistidos e encaminhados por meio de notificações ou integrações quando o envio for concluído. Envios finalizados não são afetados.

Recommendations Atualize para a versão 2.2.23. Atualize para a versão 3.1.31. Como medida de mitigação temporária, desative formulários de várias páginas ou o recurso de salvar para depois para reduzir a exposição.