CVE-2026-89286
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
FormFlow for GoHighLevel est une extension WordPress utilisée pour intégrer des formulaires CRM dans des sites web, et les versions allant jusqu'à la 1.0.0 sont concernées. La faille existe car l'extension enregistre un fichier journal directement dans le répertoire des téléchargements accessible publiquement, sans aucune restriction d'accès. Cela permet à toute personne disposant d'un navigateur web de demander le fichier directement au serveur.
Un attaquant peut lire ce fichier journal pour dérober des identifiants de CRM connectés et des jetons d'accès tiers, compromettant ainsi la confidentialité de l'intégration. Il s'agit d'une attaque de faible complexité qui ne nécessite ni authentification ni interaction de l'utilisateur, car elle ne requiert qu'un accès réseau basique au site. Il n'y a aucun impact sur l'intégrité ou la disponibilité du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The FormFlow for GoHighLevel (GHL) WordPress plugin through 1.0.0 does not restrict access to a log file it writes inside the publicly accessible uploads directory, allowing unauthenticated attackers to read its contents, which include connected-CRM identifiers and, on sites that have linked the integration, a third-party access token.