CVE-2026-15989

Resumo

O plugin Super Forms – Drag & Drop Form Builder para WordPress é vulnerável a Escalação de Privilégios em todas as versões até, e incluindo, a 6.3.316. Isso deve-se ao facto de a função before_email_success_msg() do add-on Register & Login colocar na lista de permissões a chave 'role' submetida pelo cliente e copiá-la para o array user-data que é passado diretamente para wp_insert_user(), sem validar o role submetido em relação ao register_user_role configurado pelo administrador, sem uma lista de permissões e sem qualquer verificação de capacidade current_user_can(). Isto torna possível que atacantes não autenticados registem uma nova conta com o role Administrator ao injetar role=administrator nos dados submetidos a qualquer formulário de registo Super Forms publicado (register_login_action='register').

Fontes

• CVE-2026-15989Exploit

  Scanner PoC em Python para CVE-2026-15989, explorando injeção de função não autenticada no WordPress Super Forms para criar contas de administrador e verificar o acesso.

• CVE-2026-15989Exploit

  Scanner em massa e exploit para CVE-2026-15989, a escalada de privilégios não autenticada no Super Forms <= 6.3.316 que cria contas de administrador através do parâmetro role.