Tóm tắt nhanh
- CVE-2026-45697 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng verbb/formie.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.47%, cao hơn 41.1% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.1.24, 2.2.20 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| verbb/formie Packagist | ≥ 3.0.0-beta.1, < 3.1.24< 2.2.20
| 3.1.242.2.20
|
Mô tả
Impact
- Unauthenticated users could submit crafted values into Hidden fields (with Default value → Custom) that were evaluated as Twig during submission handling, which could lead to serious compromise of the Craft site (depending on template/sandbox behavior).
- Sites with public Formie forms that include at least one Hidden field with that configuration.
- No CP login for the reported chain.
Patches
Workarounds
- Temporarily remove Hidden fields from public forms or switch Hidden default away from Custom where feasible
- Otherwise, upgrade to patched versions
Mô tả của NVD
Formie is a Craft CMS plugin for creating forms. Prior to 2.2.20 and 3.1.24, unauthenticated users could submit crafted values into Hidden fields (with Default value → Custom) that were evaluated as Twig during submission handling, which could lead to serious compromise of the Craft site (depending on template/sandbox behavior). This vulnerability is fixed in 2.2.20 and 3.1.24.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí