یک آسیب‌پذیری امنیتی در افزونه MetForm برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که در نسخه‌های پیش از 4.3.1 وجود دارد. این نقص امنیتی زمانی رخ می‌دهد که قابلیت یکپارچه‌سازی با HubSpot Forms فعال باشد.
جزئیات فنی آسیب‌پذیری
در این افزونه، هنگام ارسال هر فرم، یک فایل Debug در ریشه وب (Web Root) ایجاد می‌شود. با این حال، افزونه دسترسی به این فایل را به‌طور مناسب محدود نمی‌کند. این نقص به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، به داده‌های پاسخ API دسترسی پیدا کرده و اطلاعات حساسی نظیر Correlation Identifiers و Cookies را استخراج کنند.
تاثیرات امنیتی
- نشت اطلاعات: دسترسی غیرمجاز به پاسخ‌های API می‌تواند منجر به افشای توکن‌ها و شناسه‌های نشست شود.
- سطح دسترسی: مهاجم برای بهره‌برداری از این نقص نیازی به داشتن حساب کاربری در سایت هدف ندارد.
کاربرانی که از این افزونه استفاده می‌کنند، اکیداً توصیه می‌شود برای رفع این مشکل، آن را به نسخه 4.3.1 یا نسخه‌های جدیدتر به‌روزرسانی کنند.
