CVE-2021-24884

4.09.05 sürümünden önceki Formidable Form Builder WordPress eklentisi; <audio>, <video>, <img>, <a> ve <button> gibi belirli HTML etiketlerinin enjekte edilmesine izin vermektedir. Bu durum, kimliği doğrulanmamış uzak bir saldırganın kötü amaçlı bir bağlantı enjekte ederek HTML-enjeksiyonunu istismar etmesine olanak tanıyabilir. HTML-enjeksiyonu, kimliği doğrulanmış kullanıcıları bağlantıya tıklamaya yönlendirebilir. Bağlantıya tıklandığında JavaScript kodu çalıştırılabilir. Zafiyet, etkilenen sistemlerin web tabanlı giriş inceleme sayfasındaki bağlantılar için kullanılan "data-frmverify" etiketinin yetersiz temizlenmesinden kaynaklanmaktadır. Başarılı bir istismarın CSRF ile kombinasyonu, saldırganın etkilenen bir sistem üzerinde kullanıcının ayrıcalıklarıyla rastgele işlemler gerçekleştirmesine izin verebilir. Bu işlemler arasında, şifrelerini değiştirerek kullanıcı hesaplarının çalınması veya saldırganların kimliği doğrulanmış bir kullanıcı aracılığıyla kendi kodlarını göndermeleri sonucunda Uzaktan Kod Çalıştırma gerçekleşmesi yer almaktadır. Herhangi bir şekilde WordPress PHP kodunu düzenleyebilen kimliği doğrulanmış bir kullanıcı kötü amaçlı bağlantıya tıklarsa, PHP kodu düzenlenebilir.