karlemilnikka/cve-2024-0710Unauthentifizierte Modifikation der eindeutigen ID bei Formularübermittlung
Ein nicht authentifizierter Formularabsender kann einen benutzerdefinierten Wert für ein Feld wählen, das eigentlich immer einen zufälligen oder sequenziellen Wert haben soll. Diese Schwachstelle betrifft nur Websites, bei denen der Wert aus rechtlichen, funktionalen oder sicherheitstechnischen Gründen entweder zufällig oder sequenziell sein muss.
GP Unique ID ist ein Add-on für Gravity Forms. Es weist Einträgen nach erfolgreicher Übermittlung eindeutige IDs zu. Im Gegensatz zu den eigentlichen Datenbank-IDs der Einträge können die GP Unique IDs (im Folgenden GPUIDs genannt) vom Formularersteller angepasst werden, um einer bestimmten Syntax mit definierter Startnummer, Zeichensatz, Länge, Präfix und Suffix zu folgen. Die GPUID wird in einem benutzerdefinierten Gravity-Forms-Eintragsfeld gespeichert. Das Feld ist im Frontend ausgeblendet.
Der Plugin-Entwickler listet die folgenden häufigen Anwendungsfälle für GP Unique ID auf.
GP Unique ID weist die GPUID zu, nachdem das Formular erfolgreich übermittelt wurde, jedoch nur solange kein Wert bereits im Feld vorhanden ist. Dadurch kann ein Formularabsender beim Absenden des Formulars eine benutzerdefinierte GPUID festlegen. Da das Feld nicht leer ist, wird keine echte GPUID gespeichert. Ein Besucher kann daher
Gravity Wiz veröffentlichte am 09.04.2024 eine gepatchte Version des Plugins. Site-Administratoren sollten auf die gepatchte Version (1.5.6) aktualisieren und, falls relevant, sicherstellen, dass die vorherigen Einreichungen nicht manipuliert wurden.
