CVE-2024-11205highCWE-862

CVE-2024-11205: falha de alta gravidade em smub WPForms – Easy Form Builder for WordPress…

WPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription Cancellation

Publicada em

Seguir esta CVE+ Monitorar WPForms – Easy Form Builder for WordPress – Contact Forms, Payment Forms, Surveys, & More

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.5epss 0.7%
Em resumo

O plugin WPForms para WordPress permite que usuários com contas de assinante básico façam reembolsos de pagamentos e cancelem inscrições sem verificações de permissão adequadas. Isso significa que atacantes com acesso de baixo nível podem modificar transações financeiras que não deveriam ter permissão de acessar.

Detalhe técnico

Uma verificação de capacidade ausente na função 'wpforms_is_admin_page' permite que atacantes autenticados com privilégios de nível Subscriber ou superior realizem reembolsos de pagamentos e cancelamentos de inscrições não autorizados. A vulnerabilidade afeta as versões 1.8.4 até 1.9.2.1 e requer apenas autenticação válida no WordPress para ser explorada.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The WPForms plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'wpforms_is_admin_page' function in versions starting from 1.8.4 up to, and including, 1.9.2.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to refund payments and cancel subscriptions.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N
Produtos afetados
smub · WPForms – Easy Form Builder for WordPress – Contact Forms, Payment Forms, Surveys, & More
CVEs relacionadas — smub WPForms – Easy Form Builder for WordPress…

No mesmo produto, das mais perigosas para as menos.

CVE-2024-3649MEDIUMContact Form by WPForms – Drag & Drop Form Builder for WordPress <= 1.8.7.2 - Unauthenticated Price ManipulationEPSS 0.7%CVE-2024-13403MEDIUMWPForms Lite <= 1.9.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via fieldHTML ParameterEPSS 0.4%CVE-2025-3794MEDIUMWPForms Lite <= 1.9.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'start_timestamp' ParameterEPSS 0.3%CVE-2026-7792MEDIUMWPForms <= 1.10.0.4 - Unauthenticated Insufficient Verification of Data Authenticity via PayPal Commerce Webhook EndpointEPSS 0.3%CVE-2024-10593MEDIUMWPForms – Easy Form Builder for WordPress <= 1.9.1.6 - Cross-Site Request Forgery (CSRF) to Plugin's Log DeletionEPSS 0.3%