Description
SureForms 是由 Brainstorm Force 团队开发的一款用于 WordPress 的表单构建插件，支持用户通过拖拽方式创建表单，并提供与第三方 CRM、邮件营销系统集成以及自动化邮件通知等功能。WordPress 的 SureForms 插件在 1.13.1 及之前的版本中存在敏感信息泄露漏洞。该漏洞源于插件在注册“_srfm_email_notification”这一 post meta（文章元数据）过程中，错误地将“auth_callback”参数设置为“__return_true”，导致 REST API 权限检查失效。未经身份验证的远程攻击者可以访问特定的 API 端点，提取敏感的邮件通知配置数据，包括管理员邮箱地址、抄送/密送收件人、CRM 集成地址以及邮件通知模板。攻击者可利用这些泄露的信息进行精准钓鱼攻击，或通过泄露的集成端点将恶意数据注入下游业务系统。