Esta página ainda não foi traduzida para o seu idioma. Exibindo conteúdo em inglês enquanto trabalhamos nisso.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

HIGHCVE-2026-5395CVSS 8.2

CVE-2026-5395: IDOR in Fluent Forms Contact Forms

Plataforma

wordpress

Componente

fluentform

Corrigido em

6.2.1

Traduzindo para o seu idioma…

CVE-2026-5395 describes an Insecure Direct Object Reference (IDOR) vulnerability discovered in the Fluent Forms WordPress plugin. This flaw allows authenticated attackers with manager-level access or higher to bypass form-level access restrictions, potentially exposing sensitive data. The vulnerability impacts versions 0.0.0 through 6.2.0, and a patch is available in version 6.2.1.

WordPress

Detecte esta CVE no seu projeto

Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.

Impacto e Cenários de Ataquetraduzindo…

An attacker exploiting this IDOR vulnerability can gain unauthorized access to form submissions they are not authorized to view. This could involve extracting Personally Identifiable Information (PII) collected through forms, such as names, email addresses, and other sensitive data. Furthermore, the vulnerability allows attackers to export data from arbitrary database tables and even enumerate database table names by observing error messages. The blast radius extends to any WordPress site utilizing the vulnerable Fluent Forms plugin, particularly those handling sensitive user data.

Contexto de Exploraçãotraduzindo…

The vulnerability was published on 2026-05-14. Currently, there are no reports of active exploitation campaigns targeting CVE-2026-5395. The vulnerability is not listed on KEV or EPSS, suggesting a low to medium probability of exploitation. Public Proof-of-Concept (POC) code may emerge, increasing the risk.

Inteligência de Ameaças

Status do Exploit

Prova de ConceitoDesconhecido
CISA KEVNO
Exposição na InternetAlta
Relatórios3 relatórios de ameaças

CISA SSVC

Exploraçãonone
Automatizávelyes
Impacto Técnicopartial

Vetor CVSS

INTELIGÊNCIA DE AMEAÇAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N8.2HIGHAttack VectorNetworkComo o atacante alcança o alvoAttack ComplexityLowCondições necessárias para explorarPrivileges RequiredNoneNível de autenticação necessárioUser InteractionNoneSe a vítima precisa tomar uma açãoScopeUnchangedImpacto além do componente afetadoConfidentialityHighRisco de exposição de dados sensíveisIntegrityLowRisco de modificação não autorizada de dadosAvailabilityNoneRisco de interrupção de serviçonextguardhq.com · Pontuação Base CVSS v3.1
O que significam essas métricas?
Attack Vector
Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
Attack Complexity
Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
Privileges Required
Nenhum — sem autenticação necessária para explorar.
User Interaction
Nenhuma — ataque automático e silencioso. A vítima não faz nada.
Scope
Inalterado — impacto limitado ao componente vulnerável.
Confidentiality
Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
Integrity
Baixo — o atacante pode modificar alguns dados com alcance limitado.
Availability
Nenhum — sem impacto na disponibilidade.

Software Afetado

Componentefluentform
Fornecedorwordfence
Versão mínima0.0.0
Versão máxima6.2.0
Corrigido em6.2.1

Classificação de Fraqueza (CWE)

Linha do tempo

  1. Reservado
  2. Publicada

Mitigação e Soluções Alternativastraduzindo…

The primary mitigation for CVE-2026-5395 is to immediately upgrade the Fluent Forms plugin to version 6.2.1 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily restricting access to the exportEntries function through WordPress's built-in access control mechanisms. While not a complete fix, this can limit the potential impact. Monitor WordPress logs for suspicious activity related to database access or form exports. After upgrading, confirm the fix by attempting to access form submissions from a user account without the necessary permissions; access should be denied.

Como corrigir

Atualize para a versão 6.2.1 ou uma versão corrigida mais recente

Perguntas frequentestraduzindo…

What is CVE-2026-5395 — IDOR in Fluent Forms Contact Forms?

CVE-2026-5395 is an Insecure Direct Object Reference (IDOR) vulnerability in the Fluent Forms WordPress plugin, allowing authenticated attackers to access unauthorized form submissions and database data.

Am I affected by CVE-2026-5395 in Fluent Forms Contact Forms?

If you are using Fluent Forms version 0.0.0 through 6.2.0 on your WordPress site, you are potentially affected by this vulnerability. Check your plugin version immediately.

How do I fix CVE-2026-5395 in Fluent Forms Contact Forms?

Upgrade the Fluent Forms plugin to version 6.2.1 or later to resolve the vulnerability. If upgrading is not immediately possible, restrict access to the exportEntries function.

Is CVE-2026-5395 being actively exploited?

As of now, there are no confirmed reports of active exploitation campaigns targeting CVE-2026-5395, but the risk remains until patched.

Where can I find the official Fluent Forms advisory for CVE-2026-5395?

Refer to the official Fluent Forms website and WordPress plugin repository for the latest advisory and update information regarding CVE-2026-5395.

Seu projeto está afetado?

Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.

WordPress

Detecte esta CVE no seu projeto

Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.

ao vivoverificação gratuita

Escaneie seu projeto WordPress agora — sem conta

Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.

Escaneamento manualAlertas por Slack/e-mailMonitoramento ContínuoRelatórios de marca branca

Arraste e solte seu arquivo de dependências

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...