Podatności Formidable Forms

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie zapobiega przedostawaniu się wartości pochodzących z żądania do parsera shortcode'ów WordPressa, gdy podstawia obsługiwany token do niestandardowego HTML formularza. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów z atrybutami wybranymi przez atakującego po stronie serwera na każdej stronie wyświetlającej dotknięty formularz.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.

Wtyczka Formidable Forms dla WordPressa jest podatna na przechowywany XSS przez parametr 'frm_user_id' we wszystkich wersjach do 6.33.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie użytkownika. Poprzez sfałszowanie frm_user_id na identyfikator administratora, atakujący może spowodować, że tylko wp_kses_post() będzie filtrem, a skrypt wykona się automatycznie.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.32.1 nieprawidłowo weryfikuje status płatności subskrypcji PayPal przed oznaczeniem jej jako zakończonej. Umożliwia to nieuwierzytelnionym użytkownikom ominięcie płatności i wyzwolenie płatnych akcji formularza — takich jak dostęp do treści cyfrowych, dostarczenie licencji i aktywacja członkostwa — bez obciążania ich.