CVE-2021-24884

सारांश

फॉर्मिडेबल फॉर्म बिल्डर वर्डप्रेस प्लगइन 4.09.05 से पहले <audio>,<video>,<img>,<a> और<button> जैसे कुछ HTML टैग इंजेक्ट करने की अनुमति देता है। यह एक अनधिकृत, दूरस्थ हमलावर को एक दुर्भावनापूर्ण लिंक इंजेक्ट करके HTML-इंजेक्शन का शोषण करने की अनुमति दे सकता है। HTML-इंजेक्शन प्रमाणित उपयोगकर्ताओं को लिंक का अनुसरण करने के लिए धोखा दे सकता है। यदि लिंक पर क्लिक किया जाता है, तो Javascript कोड निष्पादित किया जा सकता है। यह भेद्यता प्रभावित प्रणालियों के वेब-आधारित प्रविष्टि निरीक्षण पृष्ठ में लिंक के लिए "data-frmverify" टैग की अपर्याप्त सैनिटाइज़ेशन के कारण है। CSRF के साथ संयोजन में एक सफल शोषण हमलावर को उपयोगकर्ता के विशेषाधिकारों के साथ प्रभावित प्रणाली पर मनमानी कार्रवाई करने की अनुमति दे सकता है। इन कार्यों में उपयोगकर्ता का पासवर्ड बदलकर उसका खाता चुराना या हमलावरों को प्रमाणित उपयोगकर्ता के माध्यम से अपना स्वयं का कोड सबमिट करने की अनुमति देना शामिल है, जिसके परिणामस्वरूप रिमोट कोड निष्पादन होता है। यदि कोई प्रमाणित उपयोगकर्ता जो किसी भी प्रकार से वर्डप्रेस PHP कोड संपादित करने में सक्षम है, दुर्भावनापूर्ण लिंक पर क्लिक करता है, तो PHP कोड संपादित किया जा सकता है।

• CVE-2021-24884एक्सप्लॉइट

  यदि कोई प्रमाणित उपयोगकर्ता जो किसी भी प्रकार से वर्डप्रेस PHP कोड संपादित करने में सक्षम है, एक दुर्भावनापूर्ण लिंक पर क्लिक करता है, तो Formidable Forms 4.09.04 में XSS के माध्यम से PHP कोड संपादित किया जा सकता है।