Formidable Forms WordPress 插件存在高危支付验证绕过漏洞（CVE-2026-2890），影响 6.28 及以下版本。该漏洞允许未授权攻击者重用低金额 Stripe 支付凭证，将高额交易标记为已付款，从而免费获取商品或服务。
插件功能与风险概述
Formidable Forms 是一款广泛使用的拖放式表单构建器，超 30 万个网站依赖其创建联系、调查及支付表单，并集成 PayPal 和 Stripe 等处理器收取费用。此次披露的漏洞 CVSS 评分高达 7.5/10，属于高危级别。尤为严重的是，利用该缺陷无需任何身份验证或订阅权限，极大降低了攻击门槛。
支付完整性绕过原理
漏洞根源在于 handle_one_time_stripe_link_return_url 函数缺乏关键验证机制。该函数仅依据 Stripe PaymentIntent 状态更新支付记录，未校验实际扣款金额是否与订单应付金额一致。同时，verify_intent 函数仅验证客户端密钥归属，未将 PaymentIntent 绑定至特定表单提交。
Wordfence 指出：“Formidable Forms 插件在 6.28 及以下版本中存在支付完整性绕过漏洞。由于 Stripe Link 返回处理程序未比对预期支付金额，且意图验证未绑定具体操作，导致未经身份验证的攻击者可重用低价值支付凭证批准高价值交易，有效绕过支付环节。”
尽管该漏洞不涉及远程代码执行或直接服务器入侵，但攻击者可借此以极低成本甚至零成本完成高价交易，造成直接经济损失。
受影响版本与修复建议
所有 6.28 及以下版本的 Formidable Forms 插件均受此漏洞影响。安全厂商 Wordfence 强烈建议用户立即更新至 6.29 或更高版本，以彻底修复支付验证缺陷，保障交易安全。