Analityczne wykorzystywanie plików cookies
CVE-2026-4160: Fluent Forms narażony na nieautoryzowaną modyfikację statusu płatności
Wtyczka Fluent Forms do WordPress ma lukę pozwalającą na nieautoryzowaną zmianę statusu płatności. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 5.3 MEDIUM
- EPSS
- 22.77%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Fluent Forms dla WordPress do wersji 6.1.21 posiada lukę typu Insecure Direct Object Reference w parametrze 'submission_id'. Brak weryfikacji uprawnień umożliwia nieautoryzowanym atakującym zmianę statusu płatności w oczekujących zgłoszeniach.
Wpływ biznesowy
Luka pozwala na manipulację statusem płatności w systemie formularzy, co może prowadzić do nieprawidłowego przetwarzania transakcji i zakłóceń w obsłudze klientów. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko fałszywych lub błędnych danych płatności, które mogą wpłynąć na procesy biznesowe i raportowanie finansowe.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Fluent Forms i ich wdrożenie. W przypadku braku natychmiastowej poprawki, ogranicz dostęp do endpointów AJAX związanych z potwierdzeniem płatności Stripe oraz monitoruj logi pod kątem podejrzanych zmian statusów płatności. Priorytetyzuj działania zabezpieczające w środowiskach z aktywnym użyciem tej wtyczki.