CVE-2026-52889 in Formie Plugin
सारांश
द्वारा VulDB • 20/08/2026
Formie एक Craft CMS प्लगइन है जो फॉर्म बनाने के लिए उपयोग किया जाता है। संस्करण 3.1.27 से पहले, Formie अग्र-पृष्ठ (front-end) पर फॉर्म रेंडरिंग के दौरान HTTP User Agent, Referer URL, Current URL, Query String को छोड़कर वर्तमान URL, क्वेरी पैरामीटर और Cookie Value जैसे अनुरोध-निर्धारित Hidden field डिफ़ॉल्ट्स को Craft की Twig रेंडरिंग परत में पास कर सकता है। एक अनाम (unauthenticated) आक्रामक जब किसी सार्वजनिक फॉर्म में प्रभावित Hidden field होता है, तो वह इन अनुरोध-नियंत्रित इनपुटों में से किसी एक में Twig सिंटैक्स रख सकता है। फिर Hidden::getFrontEndInputOptions() मान को defaultValue पर असाइन करता है और renderString कॉल करता है, जिससे अनुरोध डेटा को सादे स्ट्रिंग के रूप में संभालने की बजाय सर्वर-साइड टेम्पलेट मूल्यांकन (evaluation) होता है। Craft वेबसाइट की विन्यास और उपलब्ध Twig क्षमताओं पर निर्भर करते हुए, दोहन से संवेदनशील जानकारी का खुलासा, एप्लिकेशन स्थिति में परिवर्तन या रिमोट कोड एक्जीक्यूशन (RCE) प्राप्त किया जा सकता है। इस समस्या को संस्करण 3.1.27 में ठीक कर दिया गया है।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.