formtools.org Form Tools 設定コードインジェクション

このコードインジェクション脆弱性を悪用されると、攻撃者はForm Toolsの管理インターフェースに不正アクセスし、設定を変更したり、機密情報を盗み出したりする可能性があります。さらに、サーバー上で任意のコマンドを実行し、システム全体への影響を及ぼすことも考えられます。この脆弱性はリモートから攻撃可能であり、攻撃者がForm Toolsの管理権限を取得した場合、Webサイト全体の制御を奪われるリスクがあります。この脆弱性は既に公開されており、悪用される可能性が高いため、早急な対応が必要です。

Organizations using Form Tools 3.1.1 are at risk, particularly those hosting the application on publicly accessible servers or shared hosting environments. Those using Form Tools to collect and store sensitive user data are at higher risk due to the potential for data compromise.

• php: Examine web server access logs for requests to /admin/settings/index.php?page=accounts with unusual or malformed 'Page Theme' parameters. Use grep to search for patterns indicative of code injection attempts.

grep 'Page Theme=[^a-zA-Z0-9_]' /var/log/apache2/access.log

• generic web: Use curl to test the /admin/settings/index.php?page=accounts endpoint with various payloads in the 'Page Theme' parameter and observe the server's response for signs of code execution.

curl 'http://your-formtools-server/admin/settings/index.php?page=accounts&Page Theme=<script>alert("XSS")</script>' -v

1. 2024-07-21Disclosure

   disclosure

1. 予約済み2024-07-20
2. 公開日2024-07-21
3. 更新日2024-08-01
4. EPSS 更新日2026-04-02

この脆弱性への対応として、Form Toolsをバージョン3.1.2にアップデートすることを推奨します。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を使用して、/admin/settings/index.php?page=accountsへの不正なアクセスを遮断するルールを実装してください。また、Page Theme引数に対する入力検証を強化し、不正な値が渡されないようにすることも有効です。アップデート後、Form Toolsの管理インターフェースにログインし、設定が正常に反映されていることを確認してください。