PT-2021-11428 · Rocketgenius · Gravity Forms

Publicado 2021-01-20 · Atualizado 2022-05-24 · CVE-2020-27850

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Rocketgenius Gravity Forms anteriores à 2.4.21

Descrição:

Uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada no recurso de importação de formulários permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio da importação de um formulário GF. Esse código é interpretado por usuários com funções privilegiadas, como Administrador ou Editor.

Recomendações:

Para versões anteriores à 2.4.21, atualize para a versão 2.4.21 ou posterior para resolver o problema. Como solução temporária, considere restringir a importação de formulários GF para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-27850

GHSA-WMH7-782F-XFW5

Produtos afetados

Gravity Forms

Referências · 8

• https://github.com/wp-premium/gravityforms · Nota
• https://digital.security/advisories/cert-ds_advisory_cve-2020-27850.txt · Nota
• https://t.me/cibsecurity/22318 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-27850 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-27850 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wmh7-782f-xfw5 · Aviso do Fabricante
• https://t.me/cvenotify/8851 · Publicação no Telegram
• https://t.me/cvenotify/8761 · Publicação no Telegram