невзлом

К сведению · Fluent Forms

CVE-2026-120858 — Fluent Forms ≤6.2.16 Missing Authorization, fix 6.2.17

· CVE-2026-120858

← Простая версия для всех

Суть

Missing Authorization (Broken Access Control): through 6.2.16 Fluent Forms (fluentform) неверно ограничивал часть операций по правам. CNA Patchstack: privilege Unauthenticated, CVSS 6.5 (C:L/I:L). Impact — доступ/действия вне прав, не RCE. Fix free: ≥ 6.2.17. Маршруты, параметры и payload в публикацию не выносить. Детали hardening релиза — Security в changelog 6.2.17 (docs / wordpress.org), без разбора векторов.

Затронуто и исправлено

КомпонентУязвимо (CNA)Закрытие
Fluent Forms free (fluentform)≤ 6.2.16≥ 6.2.17
Fluent Forms Proв записи CVE не указан≥ 6.2.17 из канала Pro / кабинета ManageNinja (Security-блок docs 6.2.17; гигиена парка)

wordpress.org: 800,000+ Active Installations, Current Version 6.2.17. Changelog free 6.2.17 (Date: November 02, 2026). Docs: https://docs.fluentforms.com/changelog — free + Pro 6.2.17.

Важно: 6.2.16 (16.10.2026) уже содержал отдельный Security-блок ([ff_entry], guest orders, form import role и др.) — это не CVE-2026-120858. Закрытие именно этого CVE — 6.2.17 у free.

Эксплуатация

  • CISA KEV — нет.
  • Подтверждённых атак в ленте / на странице плагина / в docs — нет.
  • Публичного PoC в источниках хода нет. Patchstack priority Low — вторично, метку выпуска не повышать.

Как проверить

wp plugin get fluentform --fields=name,status,version
# закрыто патчем CVE: version ≥ 6.2.17; митигация: status ≠ active
# Error = плагин не установлен (нормально)

wp plugin list --fields=name,status,version
# найти строку fluentform; отдельно — пакет Pro по имени в «Плагины»
# (часто похож на fluentformpro, slug сверить на стенде; не путать с fluentforms-pdf и др.)

UI: Плагины → Fluent Forms. Multisite — Network Admin. После обновления: формы; Form Managers / permissions; Entries за период ≤6.2.16; получатели email/webhook/интеграций.

Как исправить

  1. Staging. Free: ≥ 6.2.17 с wordpress.org (wp plugin update fluentform или UI). Pro: кабинет ManageNinja / лицензионный канал → ≥ 6.2.17 (отдельный пакет; wp plugin update fluentform Pro не закрывает). Auto-updates per-plugin в WordPress по умолчанию выключены; автообновление только free ≠ закрытие Pro.
  2. Сброс кэша после выката (иначе UI/формы могут отдавать старое при уже новой версии в «Плагины»): wp cache flush при object cache; сброс page cache/CDN в панели; PHP opcache — reload php-fpm / кнопка в панели хостинга. Критерий: smoke ок после сброса. На каждой ноде/реплике.
  3. Smoke: тестовая форма; entries под админом и под form manager с ограниченными формами; интеграции при наличии; платежные формы — test mode.
  4. Prod: бэкап БД+файлов → update free(+Pro) → flush → smoke → аудит менеджеров, entries, destinations уведомлений/webhooks.
  5. Массово / Bedrock / образ / DISALLOW_FILE_MODS / Toolkit: free — wpackagist-plugin/fluentform (поднять constraint в lock → composer update / Toolkit). Pro на wpackagist обычно нет — лицензионный артефакт / ручной выкат. После деплоя на каждом инстансе: версия free и Pro + flush opcache/page cache/CDN (volume/symlink может отдать старые файлы). Не закрывать парк по одному сайту и не считать закрытым по другому плагину ManageNinja.

Если обновить нельзя

Отдельного hotfix кроме 6.2.17 нет. Compensating: wp plugin deactivate fluentform (на мультисайте при network-activate — wp plugin deactivate fluentform --network; то же для Pro) или временно ограничить публичный доступ к URL форм на хостинге. WAF как полную замену патчу не обещать. Неофициальные сборки — запрещены стандартом.

Признаки взлома и что делать

IoC вендор/CNA не публиковали. Ориентир: неожиданные правки форм/настроек; аномальные entries; изменения ACL form managers; подмена получателей email/webhook/интеграций в окне ≤6.2.16. При признаках: обновить free(+Pro) до ≥6.2.17; сменить пароли elevated; проверить плагины/темы/mu-plugins; сессии/ключи; логи; destinations уведомлений; одного обновления мало.

Источники