Podatności OpnForm

OpnForm wyprowadza sekrety edytowalnych zgłoszeń z sekwencyjnych identyfikatorów wierszy za pomocą Hashids z pustą domyślną solą, co pozwala nieuwierzytelnionym atakującym na obliczenie skrótów dla dowolnego zgłoszenia. Atakujący mogą odczytać pełne dane zgłoszeń innych respondentów przez endpoint pobierania zgłoszeń lub nadpisać zgłoszenia, dostarczając przewidywane skróty do endpointu odpowiedzi.

Słabość w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji w pliku /api/password/email komponentu Forgotten Password Handler. Manipulacja powoduje ujawnienie informacji przez rozbieżność. Atak może być zainicjowany zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publiczny. Problem jest obecnie zgodny z Laravel issue #46465, dlatego nie podjęto działań łagodzących.

Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji komponentu HTTP Header Handler. Manipulacja argumentem X-Forwarded-For prowadzi do nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny. Zalecane jest zainstalowanie poprawki o identyfikatorze 11e99960e14ca986b1a001a56e7533223d2cfa5b.

Wada w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej części pliku /api/open/forms/ komponentu Form Editor. Manipulacja powoduje cross site scripting. Atak może być inicjowany zdalnie. Exploit został opublikowany. Producent stwierdził, że funkcja jest wyłączona, dopóki użytkownik nie skonfiguruje własnej domeny, co łagodzi wektor ataku.

W systemie OpnForm do wersji 1.9.3 odkryto podatność polegającą na nieograniczonym przesyłaniu plików w pliku /answer. Atak może być przeprowadzony zdalnie. Exploit jest publiczny, a dostępna jest poprawka.

W systemie OpnForm (do wersji 1.9.3) firmy JhumanJ wykryto podatność na cross-site scripting (XSS) w pliku /show/submissions. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany. Dostępna jest poprawka o identyfikatorze a2af1184e53953afa8cb052f4055f288adcaa608.