karlemilnikka/cve-2024-0710Modificação de ID Único de Envio de Formulário Não Autenticado
Um submissor de formulário não autenticado pode escolher um valor personalizado para um campo que deveria sempre ter um valor aleatório ou sequencial. Esta vulnerabilidade afeta apenas sites onde o valor deve ser aleatório ou sequencial por razões legais, funcionais ou de segurança.
GP Unique ID é um complemento para o Gravity Forms. Ele atribui IDs únicos às entradas após a submissão bem-sucedida. Ao contrário dos IDs reais do banco de dados das entradas, os GP Unique IDs, doravante chamados GPUIDs, podem ser personalizados pelo criador do formulário para seguir uma sintaxe específica com número inicial definido, conjunto de caracteres, comprimento, prefixo e sufixo. O GPUID é armazenado em um campo personalizado de entrada do Gravity Forms. O campo fica oculto no frontend.
O desenvolvedor do plugin lista os seguintes casos de uso comuns para o GP Unique ID.
O GP Unique ID atribui o GPUID após o formulário ter sido submetido com sucesso, mas apenas enquanto não houver um valor já no campo. Isso permite que um submissor de formulário defina um GPUID personalizado ao submeter o formulário. Como o campo não está vazio, nenhum GPUID real é armazenado. Portanto, um visitante pode
O Gravity Wiz lançou uma versão corrigida do plugin em 2024-04-09. Os administradores do site devem atualizar para a versão corrigida (1.5.6) e, se relevante, garantir que as submissões anteriores não foram adulteradas.
