Esta página aún no ha sido traducida a tu idioma. Mostrando contenido en inglés mientras trabajamos en ello.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

HIGHCVE-2026-5395CVSS 8.2

CVE-2026-5395: IDOR in Fluent Forms Contact Forms

Plataforma

wordpress

Componente

fluentform

Corregido en

6.2.1

Traduciendo a tu idioma…

CVE-2026-5395 describes an Insecure Direct Object Reference (IDOR) vulnerability discovered in the Fluent Forms WordPress plugin. This flaw allows authenticated attackers with manager-level access or higher to bypass form-level access restrictions, potentially exposing sensitive data. The vulnerability impacts versions 0.0.0 through 6.2.0, and a patch is available in version 6.2.1.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataquetraduciendo…

An attacker exploiting this IDOR vulnerability can gain unauthorized access to form submissions they are not authorized to view. This could involve extracting Personally Identifiable Information (PII) collected through forms, such as names, email addresses, and other sensitive data. Furthermore, the vulnerability allows attackers to export data from arbitrary database tables and even enumerate database table names by observing error messages. The blast radius extends to any WordPress site utilizing the vulnerable Fluent Forms plugin, particularly those handling sensitive user data.

Contexto de Explotacióntraduciendo…

The vulnerability was published on 2026-05-14. Currently, there are no reports of active exploitation campaigns targeting CVE-2026-5395. The vulnerability is not listed on KEV or EPSS, suggesting a low to medium probability of exploitation. Public Proof-of-Concept (POC) code may emerge, increasing the risk.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta
Informes3 informes de amenaza

CISA SSVC

Explotaciónnone
Automatizableyes
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N8.2HIGHAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredNoneNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityLowRiesgo de modificación no autorizada de datosAvailabilityNoneRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Ninguno — sin autenticación. No se necesitan credenciales para explotar.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Bajo — el atacante puede modificar algunos datos con alcance limitado.
Availability
Ninguno — sin impacto en disponibilidad.

Software Afectado

Componentefluentform
Proveedorwordfence
Versión mínima0.0.0
Versión máxima6.2.0
Corregido en6.2.1

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workaroundstraduciendo…

The primary mitigation for CVE-2026-5395 is to immediately upgrade the Fluent Forms plugin to version 6.2.1 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily restricting access to the exportEntries function through WordPress's built-in access control mechanisms. While not a complete fix, this can limit the potential impact. Monitor WordPress logs for suspicious activity related to database access or form exports. After upgrading, confirm the fix by attempting to access form submissions from a user account without the necessary permissions; access should be denied.

Cómo corregirlo

Actualizar a la versión 6.2.1, o una versión parcheada más reciente

Preguntas frecuentestraduciendo…

What is CVE-2026-5395 — IDOR in Fluent Forms Contact Forms?

CVE-2026-5395 is an Insecure Direct Object Reference (IDOR) vulnerability in the Fluent Forms WordPress plugin, allowing authenticated attackers to access unauthorized form submissions and database data.

Am I affected by CVE-2026-5395 in Fluent Forms Contact Forms?

If you are using Fluent Forms version 0.0.0 through 6.2.0 on your WordPress site, you are potentially affected by this vulnerability. Check your plugin version immediately.

How do I fix CVE-2026-5395 in Fluent Forms Contact Forms?

Upgrade the Fluent Forms plugin to version 6.2.1 or later to resolve the vulnerability. If upgrading is not immediately possible, restrict access to the exportEntries function.

Is CVE-2026-5395 being actively exploited?

As of now, there are no confirmed reports of active exploitation campaigns targeting CVE-2026-5395, but the risk remains until patched.

Where can I find the official Fluent Forms advisory for CVE-2026-5395?

Refer to the official Fluent Forms website and WordPress plugin repository for the latest advisory and update information regarding CVE-2026-5395.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...