CVE-2026-97638 : suppression et substitution de brouillons dans Forminator Forms

Veille sécuritéCMS & e-commerce

P3Élevée

Forminator Forms présente une vulnérabilité de référence directe à un objet permettant à un attaquant non authentifié de supprimer des brouillons enregistrés appartenant à d’autres utilisateurs et de réutiliser leurs identifiants. Toutes les versions jusqu’à 1.57.3.1 incluse sont concernées; la source fournie ne précise pas de version corrective.

IdentifiantCVE-2026-97638

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-97638

Analyse technique

Le paramètre previous_draft_id n’est pas suffisamment validé; la faille exige que l’attaquant ait obtenu le draft_id d’une victime, par exemple via un lien de reprise partagé. Le nonce est publiquement accessible à un visiteur non authentifié.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée; l’événement retenu est la publication de la vulnérabilité, et non une simple modification administrative.

ImpactDes brouillons de formulaires appartenant à d’autres utilisateurs peuvent être supprimés et leurs identifiants remplacés par des soumissions contrôlées par l’attaquant.

Versions affectéesToutes les versions jusqu’à 1.57.3.1 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-10-30T18:18:21.470Z

Mise à jour2026-10-30T19:20:27.050Z

Action recommandée

Mettre à jour Forminator Forms dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.

Sources

NVD — CVE-2026-97638

Priorisation DFS : P3 · 1 source(s).