CVE-2026-6222: Brak autoryzacji w wtyczce Forminator Forms dla WordPress

Co wiadomo

Wtyczka Forminator Forms do WordPressa w wersjach do 1.51.1 włącznie posiada lukę polegającą na braku odpowiedniej autoryzacji przy wykonywaniu działań administracyjnych. Użytkownicy z niskimi uprawnieniami mogą wykonywać operacje takie jak eksport, usuwanie, klonowanie modułów oraz zarządzanie ich stanem publikacji, mimo braku wymaganych uprawnień.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach (np. subskrybentom) dostęp do wrażliwych funkcji administracyjnych wtyczki Forminator Forms. Może to prowadzić do wycieku konfiguracji formularzy, usuwania danych, klonowania modułów oraz nieautoryzowanych zmian w statusie publikacji, co zagraża integralności i poufności danych oraz stabilności usług.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Forminator Forms i zastosować dostępne aktualizacje od producenta. W przypadku braku natychmiastowej poprawki zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz przegląd uprawnień użytkowników. Priorytetem jest szybka identyfikacja i eliminacja ryzyka związanego z tą luką.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference