CVE-2026-104728 Falta de autorización en AutomatorWP hasta 5.8.4

Qué es CVE-2026-104728

El plugin AutomatorWP – No-Code Workflow Automation, Integration & Webhooks para WordPress es vulnerable a evasión de autorización en todas las versiones hasta la 5.8.4 inclusive, porque no verifica correctamente que el usuario esté autorizado a realizar la acción. Atacantes autenticados con nivel Subscriber o superior pueden enumerar todos los registros de Fluent Forms, incluidos IDs y títulos, desde la tabla fluentform_forms.

Productos y versiones afectadas

• rubengc AutomatorWP – No-Code Workflow Automation, Integration & Webhooks Plugin, now with AI

  • hasta 5.8.4

Qué hacer

1. Verificá si usás AutomatorWP – No-Code Workflow Automation, Integration & Webhooks Plugin, now with AI y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The AutomatorWP – No-Code Workflow Automation, Integration & Webhooks Plugin, now with AI plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.8.4. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to enumerate all Fluent Forms records, including form IDs and titles, from the fluentform_forms database table.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/a5d421d0-4658-4203-8c74-2eb744ea34be?so…
• plugins.trac.wordpress.org/browser/automatorwp/tags/6.0.3/integrations/fluentform/include…
• plugins.trac.wordpress.org/browser/automatorwp/tags/6.0.3/integrations/fluentform/include…
• plugins.trac.wordpress.org/browser/automatorwp/tags/6.0.3/includes/scripts.php#L161
• plugins.trac.wordpress.org/changeset/3656285

Historial de la alerta

1. 10 OCT · 06:05VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.