CVE-2025-13159

सारांश

# Flo Forms – Easy Drag & Drop Form Builder वर्डप्रेस प्लगइन स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग भेद्यता से ग्रस्त Flo Forms – Easy Drag & Drop Form Builder वर्डप्रेस प्लगइन, अपने सभी संस्करणों (1.0.43 तक और सहित) में, SVG फ़ाइल अपलोड के माध्यम से स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (Stored Cross-Site Scripting) भेद्यता के प्रति संवेदनशील है। यह भेद्यता प्लगइन द्वारा एक अनप्रमाणित (unauthenticated) AJAX एंडपॉइंट (`flo_form_submit`) के माध्यम से उचित फ़ाइल सामग्री सत्यापन के बिना SVG फ़ाइल अपलोड की अनुमति देने के कारण उत्पन्न होती है। इससे अनप्रमाणित हमलावरों के लिए JavaScript युक्त दुर्भावनापूर्ण SVG फ़ाइलें अपलोड करना संभव हो जाता है, जो तब निष्पादित होती हैं जब कोई व्यवस्थापक वर्डप्रेस एडमिन इंटरफ़ेस में अपलोड की गई फ़ाइल को देखता है, जिससे संभावित रूप से पूरी साइट से समझौता हो सकता है।

• Flo-Forms-CVE-ReportPoC

  CVE-2025-13159 के लिए प्रकटीकरण