CVE-2026-85641: falha de média gravidade em Formidable Forms
Formidable Forms 6.34 - Unauthenticated Stored Content Injection via 'updated_by' Parameter
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
33Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 4.3epss 0.1%
The Formidable Forms WordPress plugin before 6.35 does not restrict who can set the identifier recording which user last edited a form entry, and relies on that identifier when deciding whether to strip HTML from stored entry values, allowing unauthenticated visitors to have markup rendered in the admin entry view that would otherwise be removed, and to attribute their submission to an administrator who never made it.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Produtos afetados
Unknown · Formidable FormsPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/99933e4e-e371-4ba4-ad41-6849fcc6a5eb/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Formidable Forms
No mesmo produto, das mais perigosas para as menos.
CVE-2023-2877—Formidable Forms < 6.3.1 - Subscriber+ Remote Code ExecutionEPSS 22.5%CVE-2023-1405HIGHFormidable Forms < 6.2 - Unauthenticated PHP Object InjectionEPSS 0.7%CVE-2023-0816MEDIUMFormidable Forms < 6.1 - IP SpoofingEPSS 0.5%CVE-2024-9768MEDIUMFormidable Forms < 6.14.1 - Admin+ Stored XSSEPSS 0.5%CVE-2026-85642HIGHFormidable Forms 6.5 - 6.35 - Unauthenticated Payment Gateway Connect Verification DoSEPSS 0.4%CVE-2026-19857MEDIUMFormidable Forms < 6.35 - Unauthenticated Arbitrary Shortcode Execution via [entry_key] Custom HTML TokenEPSS 0.2%