Podatności Forminator Forms

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'postdata-1[post-custom]' we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanitizacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się przy dostępie do zainfekowanej strony. Wymagany nonce formularza jest swobodnie dostępny dla nieuwierzytelnionych użytkowników przez publiczny endpoint wp_ajax_nopriv_forminator_get_nonce, co czyni cały łańcuch ataku wykonalnym bez uwierzytelnienia.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.

Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym użytkownikom na wykonywanie dowolnych shortcode'ów, ponieważ wartość przekazywana do do_shortcode nie jest prawidłowo walidowana. Wykorzystanie jest możliwe na każdej instalacji z motywem blokowym poprzez pojedyncze żądanie GET do strony wyników wyszukiwania lub przez anonimowy komentarz, bez potrzeby posiadania treści Forminator.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów, ponieważ funkcja forminator_replace_quiz_form_data() wywołuje do_shortcode() na treści powiadomienia po podstawieniu znacznika {quiz_result}, a wcześniej podstawione znaczniki {user_agent} i {refer_url} zawierają dane kontrolowane przez atakującego, które nie są pozbawiane nawiasów kwadratowych. Wystarczy przesłać quiz, którego szablon powiadomienia zawiera {quiz_result}.

Wtyczka Forminator Forms – Contact Form, Payment Form & Custom Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pole tekstowe rich-text we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Skuteczne wykorzystanie wymaga, aby administrator otworzył zapisany wpis zgłoszenia w widoku Forminator Entries i wszedł w interakcję z umieszczonym linkiem, wówczas jQuery'owy handler kliknięcia WordPress na '.contextual-help-tabs a' zinterpretuje zdekodowany href jako HTML, uruchamiając ładunek atakującego w uwierzytelnionej sesji wp-admin administratora.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie ogranicza, które klucze metadanych może dostarczyć zgłoszenie formularza, ani nie wyklucza kluczy zarezerwowanych przez WordPressa. Dzięki temu niezalogowani użytkownicy, wysyłając publiczny formularz zbierający treść wpisu, mogą dołączyć do tworzonego wpisu dowolne metadane.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie weryfikuje, czy żądanie pochodzi z zaufanego proxy, preferując nagłówki przekazywane przez klienta zamiast adresu połączenia. Wykorzystuje tę wartość do egzekwowania limitu głosów na odwiedzającego oraz do zapisu, kto przesłał wpis. Niezalogowani użytkownicy mogą głosować bez limitu w dowolnej ankiecie i wybierać adres zapisywany przy każdym przesłaniu.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie wykonuje sprawdzenia nonce, uprawnień ani własności przed uruchomieniem jednorazowej migracji pól płatności podczas budowy jednego z ekranów administracyjnych. Ta konstrukcja ma miejsce przy każdym żądaniu wp-admin dla każdego zalogowanego użytkownika. Każdy uwierzytelniony użytkownik, w tym Subscriber bez uprawnień, może nadpisać zapisaną konfigurację pól dowolnego formularza, w tym aktywnego formularza płatności.

Wtyczka Forminator Forms dla WordPressa do wersji 1.57.0.1 włącznie jest podatna na trwały atak XSS przez pole tekstowe z edytorem Rich-Text. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie wymaga, aby pole tekstowe miało włączoną opcję edytora Rich-Text.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.1 nie weryfikuje, czy rejestracja witryn jest włączona w sieci przed utworzeniem rejestracji nowej witryny. Pozwala to nieuwierzytelnionym odwiedzającym na utworzenie nowej witryny w sieci WordPress multisite i uzyskanie na niej uprawnień administratora.

Wtyczka Forminator Forms dla WordPressa jest podatna na odbity XSS (DOM-Based Reflected Cross-Site Scripting) przez parametr 'error_description' we wszystkich wersjach do 1.57.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wyzwalana tylko na stronach z formularzem Forminator skonfigurowanym do korzystania z API płatności Stripe Checkout Sessions, które stało się domyślne w wersji 1.56.0.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez pole Radio Field (Save and Continue Draft) we wszystkich wersjach do 1.57.0.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana, ponieważ punkt końcowy AJAX do zapisywania szkiców jest zarejestrowany jako nopriv, co pozwala nieuwierzytelnionym atakującym ominąć walidację opcji pola radio i utrwalić spreparowany payload, który po wyrenderowaniu na stronie administracyjnej Submissions jest automatycznie wykonywany przez bibliotekę Inputmask.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.7 nie egzekwuje konsekwentnie ograniczeń ról nałożonych na formularze rejestracyjne. Użytkownicy z uprawnieniami do tworzenia formularzy mogą skonfigurować taki, który przyznaje rolę administratora każdemu odwiedzającemu, który się przez niego zarejestruje.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.

Wtyczka Forminator Forms dla WordPressa do wersji 1.55.0.2 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'draft'. Nieuwierzytelnieni atakujący mogą enumerować sekwencyjne ID wpisów i odczytywać zapisane dane formularzy innych użytkowników, w tym imiona, adresy e-mail, numery telefonów i treści wiadomości, gdy funkcja 'Save and Continue' jest włączona.

Wtyczka Forminator Forms dla WordPressa do wersji 1.56.1 jest podatna na Stored Cross-Site Scripting przez sfałszowany rekord uploadu w polu Select. Brak odpowiedniej sanitizacji i escapowania umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.