Udnyttet sårbarhed
incsub forminator Ubegrænset upload af fil med farlig type
Forminator Forms-pluginet til WordPress er sårbart over for Arbitrary File Upload i alle versioner op til og med 1.56.1 via handle_file_upload-funktionen. Dette skyldes utilstrækkelig filtype-validering i handle_file_upload, hvor den farlige-filtyper-blokeringsliste udfører eksakt-nøgle-matching, som omgås af pipe-alternative MIME-type-nøgler, kombineret med en offentlig indsendelsesbehandler, der stoler på angriber-kontrolleret uploadfelt-konfiguration injiceret via en forfalsk Select-feltværdi. Dette gør det muligt for uautentificerede angribere at uploade filer, som kan være eksekverbare, hvilket gør remote code execution mulig.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD