CVE-2026-52889

Formie, formlar yaratmaq üçün nəzərdə tutulmuş bir Craft CMS plaginidir. Versiya 3.1.27-dək olan versiyalarda Formie, ön tərəf (front-end) formasının render edilməsi zamanı sorğudan əldə edilən Hidden sahəsinin standart dəyərlərini (HTTP User Agent, Referer URL, Current URL, Current URL without Query String, Query Parameter və Cookie Value kimi) Craft-ın Twig render təbəqəsinə ötürə bilir. İctimai forma təsirə məruz qalan Hidden sahəsinə malik olduqda, autentifikasiya olunmamış hücumçu bu sorğu ilə idarə olunan girişlərdən birində Twig sintaksisini yerləşdirə bilər. Daha sonra Hidden::getFrontEndInputOptions() funksiyası həmin dəyəri defaultValue parametrini təyin edir və renderString funksiyasını çağırır ki, bu da sorğu məlumatlarının sadə sətir kimi qəbul edilməsi əvəzinə, server tərəfli şablon qiymətləndirməsinə (server-side template evaluation) səbəb olur. Craft sayt konfiqurasiyasından və mövcud Twig imkanlarından asılı olaraq, bu boşluğun istismarı həssas məlumatların açıqlanmasına, tətbiqin vəziyyətinin dəyişdirilməsinə və ya uzaqdan kodun icrasına gətirib çıxara bilər. Bu problem 3.1.27 versiyasında düzəldilmişdir.