CVE-2026-76086
Formie: Integration form-settings action allows SSRF and exfiltration of stored integration credentials
CVSS 3.1High
8.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.2.23, 3.1.31
Обновить плагин Formie до версий 2.2.23 (для ветки 2.x) или 3.1.31 (для ветки 3.x).
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Эндпоинт настроек интеграций в плагине Formie для Craft CMS доступен без проверки прав доступа. Аутентифицированный атакующий может подменить хост назначения и спровоцировать SSRF с перехватом сохраненных учетных данных.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Действие панели управления formie/integrations/form-settings в IntegrationsController::actionFormSettings не было включено в проверку прав доступа (permission gate), добавленную в 3.1.28, и передает параметры запроса напрямую в сконфигурированную интеграцию.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неслепой SSRF-запрос на контролируемый атакующим или внутренний сервер с автоматической передачей сохраненных секретов (API-ключи, токены OAuth) и возвратом ответа жертве.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
verbbformie
все ранние➔Fix: 2.2.23
verbbformie
>= 3.0.0➔Fix: 3.1.31
——
>= 3.0.0➔Fix: 3.1.31
——
>= 0➔Fix: 2.2.23
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/verbb/formie/security/advisories/GHSA-v3f3-cmj4-cvj9
- github.comhttps://github.com/verbb/formie/commit/6735fe4ae8f6a2a76930716ad7876b236f7c530d
- github.comhttps://github.com/verbb/formie/commit/dde7799dfa7e4d0a11e28754ad8544dba62d5def
- github.comhttps://github.com/advisories/GHSA-cvpc-hccg-wmw4
- github.comhttps://github.com/verbb/formie/releases/tag/2.2.23
- github.comhttps://github.com/verbb/formie/releases/tag/3.1.31
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-76086: Formie: Integration form-settings action allows SSRF and exfiltration of stored integration credentials. URL: https://cve.futuretools.ru/cve/CVE-2026-76086
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_76086,
title = {{CVE-2026-76086: Formie: Integration form-settings action allows SSRF and exfiltration of stored integration credentials}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-76086}},
note = {Оперативный инженерный анализ киберугроз}
}