PT-2025-12475 · WordPress · Fluent Forms

Khayal Farzaliyev · Publicado 2025-03-22 · Atualizado 2025-03-22 · CVE-2024-13666

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Fluent Forms – plugin Construtor de Formulários Conversacionais, Quiz, Pesquisa e Formulários de Contato Personalizáveis para WordPress, versões até e incluindo a 5.2.12

Descrição O problema está relacionado à validação insuficiente de endereço IP e ao uso de cabeçalhos HTTP fornecidos pelo usuário como método primário para obtenção do IP. Isso permite que atacantes não autenticados falsifiquem seu endereço IP e enviem formulários que podem possuir restrições baseadas em IP.

Recomendações Para versões até e incluindo a 5.2.12, atualize para uma versão que corrija o problema de validação de endereço IP para prevenir a falsificação. Como solução temporária, considere restringir o acesso aos formulários que utilizam restrições baseadas em IP até que uma correção esteja disponível.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2024-13666

Produtos afetados

Fluent Forms

Referências · 7

• https://twitter.com/CVEnew/status/1903368641330171920 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/e06fe8e4-e27a-4492-b175-3b0846e4cf10?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13666 · Nota de Segurança
• https://t.me/cvetracker/19666 · Publicação no Telegram
• https://t.me/cvenotify/115777 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3258647%40fluentform%2Ftrunk&old=3242624%40fluentform%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://t.me/cvedetector/20865 · Publicação no Telegram