Formie — плагин Craft CMS для создания форм. До версии 3.1.27 Formie мог передавать полученные из запроса значения по умолчанию для скрытых полей, такие как пользовательский агент HTTP, URL-адрес реферера, текущий URL-адрес, текущий URL-адрес без строки запроса, параметр запроса и значение cookie, на уровень рендеринга Twig Craft во время рендеринга внешней формы. Злоумышленник, не прошедший проверку подлинности, может поместить синтаксис Twig в один из этих входов, управляемых запросом, если общедоступная форма содержит затронутое скрытое поле.
Hidden::getFrontEndInputOptions() затем присваивает значение defaultValue и вызывает renderString, вызывая оценку шаблона на стороне сервера, а не обрабатывая данные запроса как простую строку. В зависимости от конфигурации сайта Craft и доступных возможностей Twig эксплуатация может раскрыть конфиденциальную информацию, изменить состояние приложения или обеспечить удаленное выполнение кода. Эта проблема исправлена в версии 3.1.27.
Показать оригинальное описание (EN)
Formie is a Craft CMS plugin for creating forms. Prior to 3.1.27, Formie can pass request-derived Hidden field defaults such as HTTP User Agent, Referer URL, Current URL, Current URL without Query String, Query Parameter, and Cookie Value to Craft's Twig rendering layer during front-end form rendering. An unauthenticated attacker can place Twig syntax in one of these request-controlled inputs when a public form contains an affected Hidden field. Hidden::getFrontEndInputOptions() then assigns the value to defaultValue and calls renderString, causing server-side template evaluation rather than treating the request data as a plain string. Depending on the Craft site configuration and available Twig capabilities, exploitation can disclose sensitive information, modify application state, or achieve remote code execution. This issue is fixed in version 3.1.27.
Характеристики атаки
Последствия
Строка CVSS v3.1