CVE-2026-45697
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Formie, wtyczka do Craft CMS, przed wersjami 2.2.20 i 3.1.24 pozwala nieuwierzytelnionym użytkownikom na przesyłanie spreparowanych wartości do pól Hidden, które są interpretowane jako kod Twig podczas przetwarzania zgłoszenia. Może to prowadzić do poważnego naruszenia bezpieczeństwa witryny Craft.
Ocena ryzyka
Atakujący może wykonać dowolny kod Twig, co może skutkować przejęciem kontroli nad witryną Craft CMS i dostępem do danych.
Rekomendacja
Zaleca się aktualizację wtyczki Formie do wersji 2.2.20, 3.1.24 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Formie is a Craft CMS plugin for creating forms. Prior to 2.2.20 and 3.1.24, unauthenticated users could submit crafted values into Hidden fields (with Default value → Custom) that were evaluated as Twig during submission handling, which could lead to serious compromise of the Craft site (depending on template/sandbox behavior). This vulnerability is fixed in 2.2.20 and 3.1.24.