CVE-2026-4986: falha de média gravidade em WPForms
WPForms Lite < 1.10.0.5 – Unauthenticated PayPal Webhook Forgery
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
33Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 5.3epss 0.2%
The WPForms WordPress plugin before 1.10.0.5 does not verify the authenticity of incoming PayPal webhook events before processing them, allowing unauthenticated attackers to forge webhook payloads and manipulate the payment state of arbitrary transactions.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Produtos afetados
Unknown · WPFormsPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/1d99eed6-9a16-4d5a-90f9-ab604dfd5b92/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — WPForms
No mesmo produto, das mais perigosas para as menos.
CVE-2024-11223MEDIUMWPForms < 1.9.2.3 - Admin+ Stored XSSEPSS 0.5%CVE-2024-7056LOWWPForms < 1.9.1.6 - Admin+ Stored XSSEPSS 0.5%CVE-2026-84744MEDIUMWPForms Lite 1.5.0.1 - 2.0.2 - Unauthenticated Arbitrary Shortcode Execution via Form Field RepopulationEPSS 0.2%CVE-2026-74991MEDIUMWPForms Lite 1.8.8.2 - 2.0.1.1 - Unauthenticated Stripe Refund and Subscription Cancellation via External PaymentIntentEPSS 0.2%