一、漏洞概述
|
漏洞名稱 |
WordPress Forminator外掛檔案上傳漏洞 |
||
|
CVE ID |
CVE-2024-28890 |
||
|
漏洞類型 |
檔案上傳 |
發現時間 |
2024-04-22 |
|
漏洞評分 |
9.8 |
漏洞等級 |
嚴重 |
|
攻擊向量 |
網路 |
所需許可權 |
無 |
|
利用難度 |
低 |
使用者互動 |
無 |
|
PoC/EXP |
未知 |
在野利用 |
未發現 |
Forminator是一款易於使用的WordPress表單構建器外掛，該外掛的活躍安裝量超過500,000。
2024年4月22日，啟明星辰VSRC監測到Forminator外掛中存在一個檔案上傳漏洞（CVE-2024-28890），其CVSS評分為9.8。由於Forminator 1.29.0 之前的版本在檔案上傳過程中檔案驗證不充分，可能導致遠端威脅者在使用該外掛的網站上上傳惡意檔案，從而可能獲取敏感資訊、破壞站點並導致拒絕服務等。
此外，Forminator 1.29.3之前的版本中還存在一個SQL隱碼攻擊漏洞（CVE-2024-31077，CVSS評分7.2），具有管理許可權的遠端威脅者可利用該漏洞在站點資料庫中執行任意 SQL 查詢，從而獲取或更改資料庫中的敏感資訊並可能導致拒絕服務；以及在Forminator 1.15.4 之前的版本中存在一個跨站腳本漏洞（CVE-2024-31857，CVSS評分6.1），可通過誘導受害者訪問或觸發特製連結，導致在使用者瀏覽器中執行任意HTML和腳本程式碼。
二、影響範圍
CVE-2024-28890
Forminator 1.29.0
CVE-2024-31077
Forminator 1.29.3
CVE-2024-31857
Forminator 1.15.4
三、安全措施
3.1升級版本
目前這些漏洞已經修復，受影響使用者可升級到以下版本，或更新到Forminator 1.29.3以修復這些漏洞。
CVE-2024-28890
Forminator >= 1.29.0
CVE-2024-31077
Forminator >= 1.29.3
CVE-2024-31857
Forminator >= 1.15.4
下載連結：
Forminator – Contact Form, Payment Form & Custom Form Builder
3.2臨時措施
可更新到Forminator外掛1.29.3及更高版本，無法及時更新也可選擇禁用或替換該外掛。
3.3通用建議
定期更新系統補丁，減少系統漏洞，提升伺服器的安全性。
加強系統和網路的訪問控制，修改防火牆策略，關閉非必要的應用埠或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
使用企業級安全產品，提升企業的網路安全性能。
加強系統使用者和許可權管理，啟用多因素認證機制和最小許可權原則，使用者和軟體許可權應保持在最低限度。
啟用強密碼策略並設置為定期修改。
3.4參考連結
https://jvn.jp/en/jp/JVN50132400/
https://www.bleepingcomputer.com/news/security/critical-forminator-plugin-flaw-impacts-over-300k-wordpress-sites/