Cette page n'a pas encore été traduite dans votre langue. Affichage du contenu en anglais pendant que nous y travaillons.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

HIGHCVE-2026-5395CVSS 8.2

CVE-2026-5395: IDOR in Fluent Forms Contact Forms

Plateforme

wordpress

Composant

fluentform

Corrigé dans

6.2.1

Traduction vers votre langue…

CVE-2026-5395 describes an Insecure Direct Object Reference (IDOR) vulnerability discovered in the Fluent Forms WordPress plugin. This flaw allows authenticated attackers with manager-level access or higher to bypass form-level access restrictions, potentially exposing sensitive data. The vulnerability impacts versions 0.0.0 through 6.2.0, and a patch is available in version 6.2.1.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Impact et Scénarios d'Attaquetraduction en cours…

An attacker exploiting this IDOR vulnerability can gain unauthorized access to form submissions they are not authorized to view. This could involve extracting Personally Identifiable Information (PII) collected through forms, such as names, email addresses, and other sensitive data. Furthermore, the vulnerability allows attackers to export data from arbitrary database tables and even enumerate database table names by observing error messages. The blast radius extends to any WordPress site utilizing the vulnerable Fluent Forms plugin, particularly those handling sensitive user data.

Contexte d'Exploitationtraduction en cours…

The vulnerability was published on 2026-05-14. Currently, there are no reports of active exploitation campaigns targeting CVE-2026-5395. The vulnerability is not listed on KEV or EPSS, suggesting a low to medium probability of exploitation. Public Proof-of-Concept (POC) code may emerge, increasing the risk.

Renseignement sur les Menaces

Statut de l'Exploit

Preuve de ConceptInconnu
CISA KEVNO
Exposition InternetÉlevée
Rapports3 rapports de menace

CISA SSVC

Exploitationnone
Automatisableyes
Impact Techniquepartial

Vecteur CVSS

RENSEIGNEMENT SUR LES MENACES· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N8.2HIGHAttack VectorNetworkComment l'attaquant atteint la cibleAttack ComplexityLowConditions requises pour exploiterPrivileges RequiredNoneNiveau d'authentification requisUser InteractionNoneSi une action de la victime est requiseScopeUnchangedImpact au-delà du composant affectéConfidentialityHighRisque d'exposition de données sensiblesIntegrityLowRisque de modification non autorisée de donnéesAvailabilityNoneRisque d'interruption de servicenextguardhq.com · Score de base CVSS v3.1
Que signifient ces métriques?
Attack Vector
Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
Attack Complexity
Faible — aucune condition spéciale requise. Exploitable de manière fiable.
Privileges Required
Aucun — sans authentification. Aucune identifiant requis pour exploiter.
User Interaction
Aucune — attaque automatique et silencieuse. La victime ne fait rien.
Scope
Inchangé — impact limité au composant vulnérable.
Confidentiality
Élevé — perte totale de confidentialité. L'attaquant peut lire toutes les données.
Integrity
Faible — l'attaquant peut modifier certaines données avec un impact limité.
Availability
Aucun — aucun impact sur la disponibilité.

Logiciel Affecté

Composantfluentform
Fournisseurwordfence
Version minimale0.0.0
Version maximale6.2.0
Corrigé dans6.2.1

Classification de Faiblesse (CWE)

Chronologie

  1. Réservé
  2. Publiée

Mitigation et Contournementstraduction en cours…

The primary mitigation for CVE-2026-5395 is to immediately upgrade the Fluent Forms plugin to version 6.2.1 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily restricting access to the exportEntries function through WordPress's built-in access control mechanisms. While not a complete fix, this can limit the potential impact. Monitor WordPress logs for suspicious activity related to database access or form exports. After upgrading, confirm the fix by attempting to access form submissions from a user account without the necessary permissions; access should be denied.

Comment corriger

Mettre à jour vers la version 6.2.1, ou une version corrigée plus récente

Questions fréquentestraduction en cours…

What is CVE-2026-5395 — IDOR in Fluent Forms Contact Forms?

CVE-2026-5395 is an Insecure Direct Object Reference (IDOR) vulnerability in the Fluent Forms WordPress plugin, allowing authenticated attackers to access unauthorized form submissions and database data.

Am I affected by CVE-2026-5395 in Fluent Forms Contact Forms?

If you are using Fluent Forms version 0.0.0 through 6.2.0 on your WordPress site, you are potentially affected by this vulnerability. Check your plugin version immediately.

How do I fix CVE-2026-5395 in Fluent Forms Contact Forms?

Upgrade the Fluent Forms plugin to version 6.2.1 or later to resolve the vulnerability. If upgrading is not immediately possible, restrict access to the exportEntries function.

Is CVE-2026-5395 being actively exploited?

As of now, there are no confirmed reports of active exploitation campaigns targeting CVE-2026-5395, but the risk remains until patched.

Where can I find the official Fluent Forms advisory for CVE-2026-5395?

Refer to the official Fluent Forms website and WordPress plugin repository for the latest advisory and update information regarding CVE-2026-5395.

Ton projet est-il affecté ?

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

en directfree scan

Scannez votre projet WordPress maintenant — sans compte

scanZone.subtitle

Scan manuelSlack/email alertsContinuous monitoringWhite-label reports

Glissez-déposez votre fichier de dépendances

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...