Formwork beheert privileges onjuist tijdens gebruikerscreatie

Een succesvolle exploitatie van deze kwetsbaarheid stelt een aanvaller in staat om een nieuw account met administratieve privileges te creëren. Dit geeft de aanvaller volledige controle over de Formwork CMS installatie, inclusief de mogelijkheid om bestanden te wijzigen, data te stelen, en kwaadaardige code uit te voeren. De impact is significant, aangezien de aanvaller de volledige controle over de applicatie verkrijgt. Dit kan leiden tot dataverlies, reputatieschade en verstoring van de dienstverlening. Er zijn geen bekende publieke exploits, maar de relatieve eenvoud van de exploitatie maakt het een aantrekkelijk doelwit.

Organizations using Formwork CMS, particularly those with multiple users and a reliance on the 'editor' role for content management, are at risk. Shared hosting environments where multiple CMS instances share the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.

• php: Examine Formwork CMS configuration files for unusual user roles or permissions. • generic web: Monitor access logs for POST requests to account creation endpoints with suspicious parameters. • generic web: Check CMS logs for successful account creations with administrative roles by users with the 'editor' role.

# Example: Grepping access logs for account creation attempts
grep 'POST /admin/users/create' access.log

1. 2026-02-21Disclosure

   disclosure

1. Gereserveerd2026-02-18
2. Gepubliceerd2026-02-21
3. Gewijzigd2026-02-24
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van Formwork CMS naar versie 2.3.4 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van de editor rol om het aanmaken van nieuwe accounts met hoge privileges te voorkomen. Controleer de toegangsrechten van gebruikers en implementeer een strikt beleid voor het toekennen van administratieve rechten. Na de upgrade, verifieer de correctie door een poging te wagen om een nieuwe account met admin rechten aan te maken met een editor account – dit zou moeten mislukken.