Плагин Bit Form WordPress до версии 3.1.2 не применяет статус активной/опубликованной формы к своим общедоступным обработчикам отправки форм, позволяя неаутентифицированным пользователям отправлять записи и запускать настроенные рабочие процессы (например, уведомления по электронной почте) форм, которые владелец сайта деактивировал или не опубликовал.
Показать оригинальное описание (EN)
The Bit Form WordPress plugin before 3.1.2 does not enforce a form's active/published status on its public form-submission handlers, allowing unauthenticated users to submit entries to, and fire the configured workflows (such as email notifications) of forms the site owner has deactivated or unpublished.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1