База данных для контактной формы 7, WPforms, плагин для WordPress форм Elementor уязвим для обхода авторизации из-за отсутствующих проверок…

База данных для контактной формы 7, WPforms, плагин для WordPress форм Elementor уязвим для обхода авторизации из-за отсутствующих проверок возможностей использования функций экспорта CSV во всех версиях до 1,4.5. Это позволяет неаутентифицированным злоумышленникам загружать конфиденциальные данные о представлении формы, содержащие личную информацию (PII), путем доступа к конечной точке экспорта CSV с помощью ключа экспорта, который раскрывается в общедоступном исходном коде страницы. Уязвимость создается потому, что, хотя шорт-код правильно фильтрует отображаемые записи пользователем, обработчик экспорта CSV полностью обходит эту фильтрацию и экспортирует все записи независимо от разрешений пользователей.