Podatności JetFormBuilder WordPress plugin

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa w wersjach do 3.6.2 włącznie pozwala na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'do_action' w klasie akcji 'Update_Options'. Nieuwierzytelnieni atakujący mogą modyfikować wartości strony opcji JetEngine, gdy administrator skonfigurował formularz z akcją po wysłaniu "Update Options". Wymagane jest zainstalowanie i aktywacja JetFormBuilder oraz JetEngine oraz skonfigurowanie formularza z tą akcją.

Wtyczka JetFormBuilder dla WordPressa (wersje do 3.6.5.3 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'jfb_xss' w zmiennej zapytania URL. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka JetFormBuilder dla WordPressa przed wersją 3.6.5.2 nie waliduje ani nie usuwa znaków nowej linii z wartości adresów pochodzących z pól formularza przed dodaniem ich do nagłówków wysyłanych e-maili, co pozwala nieuwierzytelnionym użytkownikom na wstrzykiwanie dowolnych nagłówków e-mail, dodawanie ukrytych odbiorców i fałszowanie nadawcy. Wykorzystanie wymaga, aby witryna była skonfigurowana do pobierania jednego z adresów wiadomości z pola formularza.