Forminator Forms avant 1.57.2.1 peut être utilisé par un visiteur non authentifié pour envoyer des messages depuis la configuration e-mail du site vers des destinataires arbitraires.
Source : CVE-2026-87074 — NVD
Analyse technique
La notification de brouillon sauvegardé n'est pas liée au visiteur l'ayant créé. L'adresse destinataire et le lien du message sont fournis par la requête ; le jeton autorisant l'envoi est communiqué au visiteur anonyme et rejouable sans limite.
Impact, versions et correctif
Détection / vérification
Surveiller les volumes d'e-mails Forminator, destinataires inattendus et liens externes présents dans les notifications de brouillon.
Action recommandée
Mettre à jour vers 1.57.2.1, examiner les journaux d'envoi et appliquer des limitations de débit côté messagerie si nécessaire.
Sources
Priorisation DFS : P3 · 1 source(s).