Diese Seite wurde noch nicht in Ihre Sprache übersetzt. Inhalte werden auf Englisch angezeigt, während wir daran arbeiten.
💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.
CVE-2026-5395: IDOR in Fluent Forms Contact Forms
Plattform
wordpress
Komponente
fluentform
Behoben in
6.2.1
CVE-2026-5395 describes an Insecure Direct Object Reference (IDOR) vulnerability discovered in the Fluent Forms WordPress plugin. This flaw allows authenticated attackers with manager-level access or higher to bypass form-level access restrictions, potentially exposing sensitive data. The vulnerability impacts versions 0.0.0 through 6.2.0, and a patch is available in version 6.2.1.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Auswirkungen und Angriffsszenarienwird übersetzt…
An attacker exploiting this IDOR vulnerability can gain unauthorized access to form submissions they are not authorized to view. This could involve extracting Personally Identifiable Information (PII) collected through forms, such as names, email addresses, and other sensitive data. Furthermore, the vulnerability allows attackers to export data from arbitrary database tables and even enumerate database table names by observing error messages. The blast radius extends to any WordPress site utilizing the vulnerable Fluent Forms plugin, particularly those handling sensitive user data.
Ausnutzungskontextwird übersetzt…
The vulnerability was published on 2026-05-14. Currently, there are no reports of active exploitation campaigns targeting CVE-2026-5395. The vulnerability is not listed on KEV or EPSS, suggesting a low to medium probability of exploitation. Public Proof-of-Concept (POC) code may emerge, increasing the risk.
Bedrohungsanalyse
Exploit-Status
CISA SSVC
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Keine — ohne Authentifizierung ausnutzbar. Keine Zugangsdaten erforderlich.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
- Confidentiality
- Hoch — vollständiger Vertraulichkeitsverlust. Angreifer kann alle Daten lesen.
- Integrity
- Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
- Availability
- Keine — kein Verfügbarkeitseinfluss.
Betroffene Software
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Reserviert
- Veröffentlicht
Mitigation und Workaroundswird übersetzt…
The primary mitigation for CVE-2026-5395 is to immediately upgrade the Fluent Forms plugin to version 6.2.1 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily restricting access to the exportEntries function through WordPress's built-in access control mechanisms. While not a complete fix, this can limit the potential impact. Monitor WordPress logs for suspicious activity related to database access or form exports. After upgrading, confirm the fix by attempting to access form submissions from a user account without the necessary permissions; access should be denied.
So beheben
Aktualisieren Sie auf Version 6.2.1 oder eine neuere gepatchte Version
Häufig gestellte Fragenwird übersetzt…
What is CVE-2026-5395 — IDOR in Fluent Forms Contact Forms?
CVE-2026-5395 is an Insecure Direct Object Reference (IDOR) vulnerability in the Fluent Forms WordPress plugin, allowing authenticated attackers to access unauthorized form submissions and database data.
Am I affected by CVE-2026-5395 in Fluent Forms Contact Forms?
If you are using Fluent Forms version 0.0.0 through 6.2.0 on your WordPress site, you are potentially affected by this vulnerability. Check your plugin version immediately.
How do I fix CVE-2026-5395 in Fluent Forms Contact Forms?
Upgrade the Fluent Forms plugin to version 6.2.1 or later to resolve the vulnerability. If upgrading is not immediately possible, restrict access to the exportEntries function.
Is CVE-2026-5395 being actively exploited?
As of now, there are no confirmed reports of active exploitation campaigns targeting CVE-2026-5395, but the risk remains until patched.
Where can I find the official Fluent Forms advisory for CVE-2026-5395?
Refer to the official Fluent Forms website and WordPress plugin repository for the latest advisory and update information regarding CVE-2026-5395.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...