CVE-2024-11205highCWE-862

CVE-2024-11205: fallo de gravedad alta en smub WPForms – Easy Form Builder for WordPress…

WPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription Cancellation

Publicada el

Seguir esta CVE+ Monitorear WPForms – Easy Form Builder for WordPress – Contact Forms, Payment Forms, Surveys, & More

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.5epss 0.7%
En resumen

El plugin WPForms para WordPress permite que usuarios con cuentas de suscriptor básico realicen reembolsos de pagos y cancelen suscripciones sin verificaciones de permiso adecuadas. Esto significa que atacantes con acceso de bajo nivel pueden modificar transacciones financieras que no deberían poder tocar.

Detalle técnico

Una verificación de capacidad faltante en la función 'wpforms_is_admin_page' permite que atacantes autenticados con privilegios de nivel Subscriber o superior realicen reembolsos de pagos y cancelaciones de suscripciones no autorizadas. La vulnerabilidad afecta las versiones 1.8.4 hasta 1.9.2.1 y requiere solo autenticación válida en WordPress para explotarla.

Resumen generado y traducido por IA a partir de la descripción oficial.
The WPForms plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'wpforms_is_admin_page' function in versions starting from 1.8.4 up to, and including, 1.9.2.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to refund payments and cancel subscriptions.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N
Productos afectados
smub · WPForms – Easy Form Builder for WordPress – Contact Forms, Payment Forms, Surveys, & More
CVEs relacionadas — smub WPForms – Easy Form Builder for WordPress…

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-3649MEDIUMContact Form by WPForms – Drag & Drop Form Builder for WordPress <= 1.8.7.2 - Unauthenticated Price ManipulationEPSS 0.7%CVE-2024-13403MEDIUMWPForms Lite <= 1.9.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via fieldHTML ParameterEPSS 0.4%CVE-2025-3794MEDIUMWPForms Lite <= 1.9.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'start_timestamp' ParameterEPSS 0.3%CVE-2026-7792MEDIUMWPForms <= 1.10.0.4 - Unauthenticated Insufficient Verification of Data Authenticity via PayPal Commerce Webhook EndpointEPSS 0.3%CVE-2024-10593MEDIUMWPForms – Easy Form Builder for WordPress <= 1.9.1.6 - Cross-Site Request Forgery (CSRF) to Plugin's Log DeletionEPSS 0.3%