Une faille de Fluent Support permet à un visiteur non authentifié de modifier certains champs du profil d’un client WordPress existant en envoyant une soumission de formulaire public reliée à une intégration Fluent Support. L’exposition dépend de la configuration de cette intégration ; les versions concernées vont jusqu’à 2.4.7 incluse.
Source : NVD — CVE-2026-119213
Analyse technique
L’intégration Fluent Forms associe l’adresse e-mail soumise à un compte existant sans vérifier que le demandeur contrôle cette adresse. Certains champs ne sont modifiables que s’ils sont mappés dans le flux ; l’adresse e-mail, le rôle et le statut ne sont pas changés.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible ; vérifier les flux Fluent Support associés aux formulaires publics et limiter les champs qu’ils peuvent modifier.
Sources
Priorisation DFS : P4 · 1 source(s).