CVE-2021-24884

概要

The Formidable Form Builder WordPress プラグイン 4.09.05 より前のバージョンでは、<audio>、<video>、<img>、<a>、<button> などの特定の HTML タグを注入することが可能です。これにより、認証されていないリモート攻撃者が悪意のあるリンクを注入して HTML インジェクションを悪用できる可能性があります。この HTML インジェクションにより、認証済みユーザーがそのリンクをクリックするよう仕向けられる可能性があります。リンクがクリックされると、JavaScript コードが実行される可能性があります。この脆弱性は、影響を受けるシステムのWebベースのエントリ検査ページにおいて、リンクの「data-frmverify」タグのサニタイズが不十分であることに起因します。CSRF と組み合わせて悪用に成功した場合、攻撃者は影響を受けるシステム上でユーザーの権限を用いて任意の操作を実行できる可能性があります。これらの操作には、パスワードを変更してユーザーのアカウントを乗っ取ることや、認証済みユーザーを介して攻撃者自身のコードを送信させ、リモートコード実行を可能にすることが含まれます。WordPress の PHP コードを何らかの形で編集できる認証済みユーザーが悪意のあるリンクをクリックした場合、PHP コードが編集される可能性があります。

• CVE-2021-24884エクスプロイト

  認証済みユーザーが何らかの形でWordPressのPHPコードを編集できる場合、悪意のあるリンクをクリックすると、Formidable Forms 4.09.04のXSSを介してPHPコードが編集される可能性があります。