karlemilnikka/cve-2024-0710تعديل المُعرّف الفريد لإرسال النموذج بدون مصادقة
يمكن لمُرسل نموذج غير مصادق عليه اختيار قيمة مخصصة لحقل يُفترض أن تكون قيمته عشوائية أو تسلسلية دائمًا. تؤثر هذه الثغرة فقط على المواقع التي يجب أن تكون فيها القيمة إما عشوائية أو تسلسلية لأسباب قانونية أو وظيفية أو أمنية.
GP Unique ID هو إضافة لـ Gravity Forms. يقوم بتعيين معرفات فريدة للإدخالات بعد الإرسال الناجح. على عكس معرفات قواعد البيانات الفعلية للإدخالات، يمكن تخصيص معرفات GP Unique ID، المشار إليها فيما بعد باسم GPUIDs، بواسطة منشئ النموذج لتتبع بنية محددة مع رقم بداية ومجموعة أحرف وطول وبادئة ولاحقة محددة. يتم تخزين GPUID في حقل مخصص لإدخالات Gravity Forms. الحقل مخفي في الواجهة الأمامية.
يذكر مطور الإضافة حالات الاستخدام الشائعة التالية لـ GP Unique ID.
يقوم GP Unique ID بتعيين GPUID بعد إرسال النموذج بنجاح، ولكن فقط طالما لا توجد قيمة في الحقل بالفعل. وهذا يسمح لمُرسل النموذج بتعيين GPUID مخصص عند إرسال النموذج. نظرًا لأن الحقل ليس فارغًا، لا يتم تخزين GPUID حقيقي. لذلك يمكن للزائر:
أصدرت Gravity Wiz نسخة مصححة من الإضافة في 2024-04-09. يجب على مسؤولي المواقع التحديث إلى الإصدار المُصحح (1.5.6)، وإذا كان الأمر مناسبًا، التأكد من عدم العبث بعمليات الإرسال السابقة.
