CVE-2026-12793
JetFormBuilder <= 3.6.2 - Escalação de Privilégios Não Autenticada via Parâmetro '_jet_engine_booking_form_id'
- Publicado
- 16 de set. de 2026
- Atualizado
- 17 de set. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 16 de set. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 42,7%
- Data do modelo
- 17 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin JetFormBuilder — Dynamic Blocks Form Builder para WordPress é vulnerável a Escalação de Privilégios em todas as versões até, e incluindo, a 3.6.2. Isso ocorre porque o plugin não valida que um ID de formulário enviado pertence a um formulário JetFormBuilder antes de analisar o conteúdo do post referenciado como esquema de formulário e executar um callback de Validação Avançada no lado do servidor. Isso torna possível para atacantes não autenticados criar uma nova conta de usuário com nível de administrador.
Fontes
Scanner PoC em Python e exploit para CVE-2026-12793, uma escalada de privilégios não autenticada no JetFormBuilder <=3.6.2 que cria contas de administrador do WordPress.
PoC em Python para CVE-2026-12793 no JetFormBuilder <= 3.6.2: escalonamento de privilégios não autenticado que leva ao upload de plugin e execução remota de código, com modos de verificação e varredura em massa.
Proof-of-concept de exploit para CVE-2026-12793, uma escalada de privilégios não autenticada no WordPress JetFormBuilder até a versão 3.6.2 que cria contas de administrador.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.