CVE-2021-24884

Résumé

Le plugin WordPress Formidable Form Builder antérieur à la version 4.09.05 permet d'injecter certaines balises HTML comme <audio>, <video>, <img>, <a> et <button>. Cela pourrait permettre à un attaquant distant non authentifié d'exploiter une injection HTML en injectant un lien malveillant. L'injection HTML peut tromper les utilisateurs authentifiés pour qu'ils suivent le lien. Si le lien est cliqué, du code Javascript peut être exécuté. La vulnérabilité est due à une désinfection insuffisante de la balise "data-frmverify" pour les liens dans la page d'inspection des entrées basée sur le web des systèmes concernés. Une exploitation réussie combinée à une faille CSRF pourrait permettre à l'attaquant d'effectuer des actions arbitraires sur un système affecté avec les privilèges de l'utilisateur. Ces actions incluent le vol du compte de l'utilisateur en modifiant son mot de passe, ou la possibilité pour les attaquants de soumettre leur propre code via un utilisateur authentifié, ce qui entraîne une exécution de code à distance. Si un utilisateur authentifié capable de modifier le code PHP de Wordpress, de quelque manière que ce soit, clique sur le lien malveillant, le code PHP peut être modifié.

• CVE-2021-24884Exploit

  Si un utilisateur authentifié qui est capable de modifier du code PHP WordPress de quelque manière que ce soit, clique sur un lien malveillant, du code PHP peut être modifié via XSS dans Formidable Forms 4.09.04.