Podatności Forminator Forms WordPress plugin

Wtyczka WordPress Forminator Forms w wersji przed 1.57.2.1 nie wiąże powiadomienia o zapisanym szkicu z odwiedzającym, który go utworzył, i pobiera zarówno adres odbiorcy, jak i link w wiadomości z żądania. Umożliwia to niezalogowanym odwiedzającym wysłanie wiadomości z konfiguracji pocztowej witryny na dowolny adres z linkiem według własnego wyboru. Token autoryzujący wysyłkę jest przekazywany anonimowemu wywołującemu przez samą wtyczkę i może być odtwarzany bez ograniczeń.

Wtyczka Forminator Forms dla WordPressa w wersji przed 1.57.2.1 nie stosuje walidacji ról, którą egzekwuje w innych miejscach, gdy formularz rejestracji jest zagnieżdżony w zaimportowanym quizie. Umożliwia to użytkownikowi mogącemu importować quizy opublikowanie aktywnego, publicznie dostępnego formularza, który przyznaje dowolną rolę, w tym administratora, każdemu, kto go wyśle. Ten sam użytkownik jest odrzucany przy identycznym formularzu poprzez zwykły edytor formularzy i zwykły import formularzy.

Wtyczka WordPress Forminator Forms przed wersją 1.57.2.1 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pochodzącej z żądania XML-RPC. Umożliwia to użytkownikom posiadającym uprawnienie do zarządzania formularzami zapis dowolnego pliku i wykonanie dowolnego kodu.