Vulnerabilidad en plugin SureForms para WordPress (CVE-2026-4987)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

28/03/2026

Última modificación:

24/04/2026

Descripción

El plugin SureForms – Contact Form, Payment Form &amp; Other Custom Form Builder para WordPress es vulnerable a la Omisión de Cantidad de Pago en todas las versiones hasta la 2.5.2, inclusive. Esto se debe a que la función create_payment_intent() realiza una validación de pago únicamente basada en el valor de un parámetro controlado por el usuario. Esto hace posible que atacantes no autenticados omitan la validación de cantidad de pago del formulario configurada y creen intenciones de pago/suscripción con precios reducidos al establecer form_id en 0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vulnerabilidad en plugin SureForms para WordPress (CVE-2026-4987)

Descripción

Impacto

Referencias a soluciones, herramientas e información