CVE-2026-5229: Form Notify para WordPress – Bypass de Autenticação via Callback OAuth do LINE
O plugin Form Notify for Any Forms para WordPress apresenta um bypass de autenticação nas versões até a 1.1.10 inclusive. Como o login OAuth do LINE depende de um cookie fornecido pelo cliente para escolher a conta, atacantes não autenticados podem obter acesso a qualquer usuário do site, inclusive administradores. O registro atribui CVSS 3.1 de 9.8 (Crítica), não informa versão corrigida e não consta no catálogo KEV.
Visão geral
O Form Notify for Any Forms é um plugin para WordPress. A Wordfence informa um bypass de autenticação que afeta as versões até a 1.1.10 inclusive, classificado como CWE-287 (Autenticação Inadequada). A falha está no fluxo de login OAuth do LINE: quando o LINE não retorna um endereço de e-mail, o plugin usa um valor de cookie fornecido pelo cliente para escolher a conta WordPress a ser autenticada, sem confirmar que a identidade do LINE pertence a essa conta. Consulte a entrada da Wordfence e a página do NVD.
Impacto
- Segundo o registro, atacantes não autenticados podem obter acesso a qualquer conta de usuário do site, inclusive contas de administrador.
- A pontuação CVSS 3.1 informada pelo CNA é 9.8 (Crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
- Acesso administrativo permitiria alterar conteúdo, usuários, plugins e dados armazenados.
Produtos e versões afetadas
- Produto conforme listado: Form Notify for Any Forms (plugin WordPress), versões até a 1.1.10 inclusive.
- O registro não informa versão corrigida. O aviso referencia o arquivo de código do plugin em User.php, onde está a lógica afetada.
Status de exploração
- CISA KEV: não listada no registro.
- Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
- O SSVC registra exploração como none e automatizável como yes. A probabilidade EPSS é 0.01102, com percentil 0.64858, conforme registrado.
Correção e mitigação
- Verifique se o plugin Form Notify está instalado e qual versão está ativa. Considere a versão 1.1.10 e anteriores como afetadas.
- Atualize para uma versão posterior à 1.1.10 assim que o desenvolvedor publicar uma. O registro não informa a versão corrigida.
- Se não for possível atualizar de imediato, desative a integração de login do LINE ou o plugin até que uma correção seja confirmada.
- Revise contas de administrador em busca de criações ou alterações de privilégio inesperadas e troque credenciais onde houver suspeita de comprometimento.
Orientações de detecção
- Analise os logs de autenticação em busca de logins de administrador próximos às requisições de callback do LINE, especialmente de redes desconhecidas.
- Procure novas contas de administrador, mudanças de função e alterações em arquivos de plugins ou temas.
- Monitore cookies incomuns com o padrão de nome do plugin definidos em requisições relacionadas ao login.
Limitações das informações disponíveis
- O registro não informa a versão corrigida nem descreve um patch.
- Duas commits no GitHub são referenciadas e podem estar relacionadas à correção, mas o registro não confirma o conteúdo delas.
- O nome do produto no registro inclui um prefixo de identificador não explicado; a faixa de versões afetadas foi considerada como informada.
Perguntas frequentes
O CVE-2026-5229 está sendo explorado ativamente?
O registro não o lista no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. O SSVC registra exploração como none, embora o caso seja marcado como automatizável.
Quais versões são afetadas e existe correção?
As versões até a 1.1.10 inclusive estão listadas como afetadas. O registro não informa uma versão corrigida, então os administradores devem verificar com o desenvolvedor do plugin e atualizar quando uma versão confirmada estiver disponível.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.