Formidable Forms : installation arbitraire d’extensions

Veille sécuritéCMS & e-commerce

P3Élevée

Dans Formidable Forms, une validation insuffisante de l’URL et des contrôles de permission incomplets permettent à des utilisateurs authentifiés disposant de droits de niveau abonné ou supérieur d’installer des extensions arbitraires. Le problème ne concerne que les installations gratuites sans Formidable Pro.

IdentifiantCVE-2026-89435

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-89435

Analyse technique

La validation de l’URL dans validate_url_is_in_s3_bucket() est insuffisante; la permission repose sur un jeton partagé et ne vérifie pas les capacités install_plugins et activate_plugins. L’exploitation nécessite une installation gratuite sans Formidable Pro.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-10-30, dans la période; l’item est retenu comme vulnérabilité publiée, et non sur la seule base de sa date de modification.

ImpactInstallation d’extensions arbitraires sur le serveur, avec risque de compromission du site.

Versions affectéesToutes les versions jusqu’à 6.35 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,39% · percentile 33,4%

Publication2026-10-30T07:16:34.410Z

Mise à jour2026-10-30T19:20:18.440Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes ayant accès aux formulaires et vérifier si l’installation est concernée par la condition Formidable Pro.

Sources

NVD — CVE-2026-89435

Priorisation DFS : P3 · 1 source(s).