PT-2024-39586 · WordPress · The Forminator Forms

Vijaysimha + 1 · Publicado 2024-10-16 · Atualizado 2024-10-18 · CVE-2024-9351

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

O plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder para o WordPress, nas versões até a 1.35.1, inclusive

Descrição

O problema está relacionado a Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta na função create module. Isso permite que invasores não autenticados criem rascunhos de questionários por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 1.35.1, inclusive, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função create module.

Como solução temporária, considere restringir o acesso à funcionalidade de criação de questionários para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-9351

Produtos afetados

The Forminator Forms

Referências · 8

• https://plugins.trac.wordpress.org/browser/forminator/tags/1.35.0/library/modules/quizzes/admin/admin-loader.php#L719 · Nota
• https://plugins.trac.wordpress.org/changeset/3169243 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-9351 · Nota de Segurança
• https://t.me/cvenotify/98428 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1846791632710258697 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/8d89e3b7-d980-42bb-ab0c-d86ab174a69c?source=cve · Nota
• https://t.me/cvedetector/8146 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-9351 · Aviso do Fabricante