CVE-2026-12400

总结

WordPress 的 FlowForms – Conversational Form Builder 插件在包括 1.1.1 在内的所有版本中，存在不安全直接对象引用（Insecure Direct Object Reference）漏洞，原因是通过 update_form 功能时缺少对用户控制的键的验证。这使得具有贡献者（contributor）级别及以上权限的已认证攻击者，能够通过在 REST URL 中提供任意表单 ID，来修改网站上任何表单——包括管理员拥有的表单——的内容、设计和设置，以及发布或还原这些表单。

• CVE-2026-12400-Exploit漏洞利用

  已验证的 WordPress IDOR 漏洞利用程序，针对 CVE-2026-12400；可枚举 FlowForms REST 表单 ID，并修改表单内容或劫持电子邮件通知。