karlemilnikka/cve-2024-0710Изменение уникального идентификатора отправки формы без аутентификации
Неавторизованный отправитель формы может выбрать произвольное значение для поля, которое всегда должно иметь случайное или последовательное значение. Эта уязвимость затрагивает только сайты, где значение должно быть случайным или последовательным по юридическим, функциональным или причинам безопасности.
GP Unique ID — это дополнение для Gravity Forms. Оно присваивает уникальные идентификаторы записям после успешной отправки. В отличие от фактических идентификаторов записей в базе данных, GPUID (уникальные идентификаторы GP) могут быть настроены создателем формы для следования определенному синтаксису с заданным начальным числом, набором символов, длиной, префиксом и суффиксом. GPUID хранится в пользовательском поле записи Gravity Forms. Это поле скрыто на фронтенде.
Разработчик плагина перечисляет следующие распространенные варианты использования GP Unique ID.
GP Unique ID присваивает GPUID после успешной отправки формы, но только в том случае, если в поле уже нет значения. Это позволяет отправителю формы установить произвольный GPUID при отправке формы. Поскольку поле не пусто, реальный GPUID не сохраняется. Таким образом, посетитель может:
Gravity Wiz выпустил исправленную версию плагина 2024-04-09. Администраторам сайтов следует обновиться до исправленной версии (1.5.6) и, при необходимости, убедиться, что предыдущие отправки не были подделаны.
