Formie — плагин Craft CMS для создания форм. До версий 2.2.20 и 3.1.24 неаутентифицированные пользователи могли отправлять созданные значения в скрытые поля (со значением по умолчанию → Пользовательские), которые оценивались как Twig во время обработки отправки, что могло привести к серьезной компрометации сайта Craft (в зависимости от поведения шаблона/песочницы). Эта уязвимость исправлена в версиях 2.2.20 и 3.1.24.
Показать оригинальное описание (EN)
Formie is a Craft CMS plugin for creating forms. Prior to 2.2.20 and 3.1.24, unauthenticated users could submit crafted values into Hidden fields (with Default value → Custom) that were evaluated as Twig during submission handling, which could lead to serious compromise of the Craft site (depending on template/sandbox behavior). This vulnerability is fixed in 2.2.20 and 3.1.24.
Характеристики атаки
Последствия
Строка CVSS v3.1