JVN#50132400
WordPress用プラグインForminatorにおける複数の脆弱性

WPMU DEVが提供するWordPress用プラグインForminatorには、複数の脆弱性が存在します。

CVE-2024-28890

• Forminator 1.29.0より前のバージョン

• Forminator 1.29.3より前のバージョン

• Forminator 1.15.4より前のバージョン

WPMU DEVが提供するWordPress用プラグインForminatorには、次の複数の脆弱性が存在します。

• 危険なタイプのファイルの無制限アップロード（CWE-434）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2024-28890
• SQLインジェクション（CWE-89）
  • CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H 基本値 7.2
  • CVE-2024-31077
• クロスサイトスクリプティング（CWE-79）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値 6.1
  • CVE-2024-31857

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、サーバ上のファイルへのアクセスによる機密情報取得、当該製品を使用しているサイトの改ざんおよびサービス運用妨害（DoS）攻撃が行われる（CVE-2024-28890）
• 当該製品の管理画面にアクセスできるユーザによって、データベースの情報取得や改ざん、およびサービス運用妨害（DoS）攻撃が行われる（CVE-2024-31077）
• 遠隔の第三者によって、ユーザ情報などを取得されたり、ユーザのウェブブラウザ上の表示を改ざんされたりする（CVE-2024-31857）

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。