Forminator Forms avant 1.57.2.1 peut être utilisé par un visiteur non authentifié pour envoyer des messages depuis la configuration e-mail du site vers des destinataires arbitraires.
Analyse technique
La notification de brouillon sauvegardé n'est pas liée au visiteur l'ayant créé. L'adresse destinataire et le lien du message sont fournis par la requête ; le jeton autorisant l'envoi est communiqué au visiteur anonyme et rejouable sans limite.
Impact, versions et correctif
Détection / vérification
Surveiller les volumes d'e-mails Forminator, destinataires inattendus et liens externes présents dans les notifications de brouillon.
Action recommandée
Mettre à jour vers 1.57.2.1, examiner les journaux d'envoi et appliquer des limitations de débit côté messagerie si nécessaire.
Sources
Priorisation DFS : P3 · confiance de recoupement standard · 1 source(s).