CVE-2026-5229
Уведомления после отправки формы – Form Notify для любых форм <= 1.1.10 - Неаутентифицированный обход аутентификации через LINE OAuth Callback
- Опубликовано
- 15 мая 2026 г.
- Обновлено
- 15 мая 2026 г.
- Назначение CNA
- Wordfence
- Наблюдены доказательства
- 17 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 65,1 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Плагин Form Notify для WordPress уязвим к обходу аутентификации в версиях до 1.1.10 включительно. Это связано с тем, что плагин доверяет управляемым пользователем данным cookie для определения того, какая учётная запись WordPress должна быть аутентифицирована после входа через LINE OAuth. Когда LINE не предоставляет адрес электронной почты (что встречается часто), плагин переходит к чтению значения cookie 'form_notify_line_email' без проверки того, что учётная запись LINE связана с этим адресом электронной почты. Это позволяет неаутентифицированным злоумышленникам получить доступ к любой учётной записи пользователя на сайте, включая учётные записи администратора, путём завершения потока LINE OAuth со своей собственной учётной записью LINE при внедрении вредоносного cookie, содержащего адрес электронной почты целевой жертвы.
Источники
- CVE-2026-5229Эксплойт
CVE-2026-5229: Обход аутентификации Form Notify через LINE OAuth Callback (CVSS 9.8)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.