verbb/formie Server-Side Template Injection for variable-enabled settings

TRUNG BÌNH 4.4CVE-2024-35191 · GHSA-v45m-hxqp-fwf5 · Công bố 20/05/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-35191 là lỗ hổng mức TRUNG BÌNH (CVSS 4.4) ảnh hưởng verbb/formie, formie (verbb).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.25%, cao hơn 16.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.1.6, 2.0.44 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
verbb/formie Packagist	`< 2.1.6`	`2.1.6`
formie verbb	`≥ 2.1.0, < 2.1.6< 2.0.44`	`2.1.62.0.44`

Mô tả

Impact

Users with access to a form's settings can include malicious Twig code into fields that support Twig. These might be the Submission Title or the Success Message. This code will then be executed upon creating a submission, or rendering the text.

This is listed as low-medium severity due to requiring control panel access to edit a form's settings.

Patches

This has been fixed in Formie 2.1.6. Users should ensure they are running at least this version.

Mô tả của NVD

Formie is a Craft CMS plugin for creating forms. Prior to 2.1.6, users with access to a form's settings can include malicious Twig code into fields that support Twig. These might be the Submission Title or the Success Message. This code will then be executed upon creating a submission, or rendering the text. This has been fixed in Formie 2.1.6.