关于WordPress Forminator插件文件上传漏洞（CVE-2024-28890）的安全预警

一、 基本情况

Forminator是一款易于使用的WordPress表单构建器插件，该插件的活跃安装量超过500,000。

二、 漏洞描述

Forminator插件中存在一个文件上传漏洞（CVE-2024-28890），其CVSS评分为9.8。由于Forminator 1.29.0 之前的版本在文件上传过程中文件验证不充分，可能导致远程威胁者在使用该插件的网站上上传恶意文件，从而可能获取敏感信息、破坏站点并导致拒绝服务等。

此外，Forminator 1.29.3之前的版本中还存在一个SQL注入漏洞（CVE-2024-31077，CVSS评分7.2），具有管理权限的远程威胁者可利用该漏洞在站点数据库中执行任意 SQL 查询，从而获取或更改数据库中的敏感信息并可能导致拒绝服务；以及在Forminator 1.15.4 之前的版本中存在一个跨站脚本漏洞（CVE-2024-31857，CVSS评分6.1），可通过诱导受害者访问或触发特制链接，导致在用户浏览器中执行任意HTML和脚本代码。

三、 影响范围

CVE-2024-28890

Forminator < 1.29.0

CVE-2024-31077

Forminator < 1.29.3

CVE-2024-31857

Forminator < 1.15.4

四、 修复建议

目前这些漏洞已经修复，受影响用户可升级到以下版本，或更新到Forminator 1.29.3以修复这些漏洞。

CVE-2024-28890

Forminator >= 1.29.0

CVE-2024-31077

Forminator >= 1.29.3

CVE-2024-31857

Forminator >= 1.15.4

下载链接：

https://wordpress.org/plugins/forminator/

五、 参考链接

https://jvn.jp/en/jp/JVN50132400/

https://www.bleepingcomputer.com/news/security/critical-forminator-plugin-flaw-impacts-over-300k-wordpress-sites/