Плагин Fluent Forms ниже 6.2.17 — обновите: чужой мог обойти права доступа к формам

Коротко. В плагине Fluent Forms (WP ManageNinja) закрыта ошибка контроля доступа: в версиях до 6.2.16 включительно часть проверок прав работала неверно. Посторонний без входа на сайт мог выполнять действия или видеть данные, на которые у него не должно быть прав. Пример: 6.2.16 — уязвима, 6.2.17 — уже исправлена. Полный захват сайта по этой одной ошибке не утверждаем. Подтверждённых атак нет.

Касается ли это вас.

• Да, если стоит Fluent Forms и версия ниже 6.2.17.
• Скорее нет, если плагина нет или уже стоит 6.2.17 или новее. Если рядом стоит платная Pro — её тоже стоит довести до 6.2.17 или новее (у вендора в том же релизе был отдельный блок усиления безопасности; в записи CVE указана бесплатная версия).
• Не знаете — в админке откройте «Плагины», найдите Fluent Forms и посмотрите номер; на сети сайтов (мультисайт) чаще смотрят в Network Admin → Плагины. Либо перешлите статью тому, кто ведёт сайт.

Чем грозит. Утечка или изменение данных форм и связанных настроек вне положенных прав. Это не «автоматический полный захват сайта», но оставлять без обновления не стоит.

Что сделать в первую очередь.

1. Сделайте копию сайта в панели хостинга или попросите того, кто ведёт сайт.
2. Войдите в админку WordPress → «Плагины» (на мультисайте — сначала Network Admin → Плагины). Найдите Fluent Forms и посмотрите номер. Если ниже 6.2.17 — обновите до 6.2.17 или новее через «Обновления» или кнопку у плагина. Чужие zip с форумов не ставьте.
3. Нет кнопки обновления или нет прав — попросите поддержку хостинга обновить плагин fluentform до 6.2.17 или новее (WordPress Toolkit / «Приложения») или того, кто ведёт сайт. Если стоит Pro — обновление обычно из кабинета ManageNinja или своего канала: доведите Pro тоже до 6.2.17 или новее, иначе успех только по бесплатной строке неполный.
4. После обновления откройте список форм и свежие заявки (entries): нет ли чужих правок или странных записей за период, когда стояла версия ниже 6.2.17. Если нашли следы взлома — одного обновления мало: смените пароли администраторов и сразу передайте сайт тому, кто его ведёт (или по ссылке для айтишника ниже).

Получилось, если у Fluent Forms (и у Pro, если он стоит) видна версия 6.2.17 или новее. Обновили, а номер или формы «как будто старые» — попросите хостинг сбросить кэш сайта и PHP; перезагрузка сервера не нужна. Не получается — см. ниже.

Что сделать во вторую очередь.

1. Включите автообновление этого плагина, если доверяете релизам ManageNinja на вашем сайте (по умолчанию автообновление плагинов в WordPress выключено). Автообновление только free не закрывает Pro.
2. Если сайт долго был на версии ниже 6.2.17 — ещё раз просмотрите, кто допущен к каким формам, и недавние заявки.
3. Если сайт ставили не вы — попросите того, кто ведёт сайт, сверить и free, и Pro.

Если сразу не получается.

• Нет прав админа — перешлите готовый текст ниже тому, кто ведёт сайт.
• Боитесь сломать формы оплаты или интеграции — сначала тестовая копия сайта, потом обновление.
• Пока обновить нельзя — временно отключите плагин в «Плагины» (успех: статус «Неактивен»; формы на сайте перестанут работать) или попросите хостинг временно закрыть публичный доступ к страницам с формами. Перезагрузка сервера не нужна.
• «Патчи» и сборки с форумов не ставьте.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! Нужно обновить плагин WordPress «Fluent Forms» (slug fluentform, WP ManageNinja) до версии 6.2.17 или новее с wordpress.org. Причина: CVE-2026-120858 — Broken Access Control / Missing Authorization в бесплатной версии до 6.2.16 включительно; без входа на сайт возможны действия или доступ к данным вне прав. Если стоит Pro — обновите и её до 6.2.17 или новее из кабинета ManageNinja / своего канала (у вендора в 6.2.17 отдельный Security-блок; в записи CVE указан free). Подтверждённых атак нет. После обновления проверьте формы, права менеджеров, свежие entries и получателей уведомлений/интеграций; если есть признаки компрометации — смените пароли администраторов и разберитесь с инцидентом, одного обновления мало. Пока обновить нельзя — временно деактивируйте плагин или ограничьте публичный доступ к формам. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-08-fluentform/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-08-fluentform/

Источник. Fluent Forms — wordpress.org (актуальная 6.2.17; в changelog 2 ноября 2026 — блок security по правам менеджеров, настройкам и записям). Номер CVE-2026-120858 и оценка CNA Patchstack CVSS 6.5 — текстом, без ссылок на агрегаторы.