漏洞描述
HTML Forms 是 WordPress 的一款 HTML 表单生成插件。
HTML Forms 在 1.3.25 之前的版本中由于在执行 sql 语句之前没有对 sql 进行转义从而存在 sql 注入漏洞，具有管理员及以上用户权限的攻击者可通过修改 “admin.php?page=html-forms&view=edit&form_id=form_ID&tab=submissions”请求中的 Submission ID 参数为有效负载进行 sql 注入攻击，获取 WordPress 站点数据库数据信息。
| 漏洞名称 | HTML Forms WordPress Plugin <1.3.25 存在 SQL 注入漏洞 |
|---|---|
| 漏洞类型 | SQL注入 |
| 发现时间 | 2022-11-28 |
| 漏洞影响广度 | 极小 |
| MPS编号 | MPS-2022-60937 |
| CVE编号 | CVE-2022-3689 |
| CNVD编号 | - |
影响范围
HTML Forms@(-∞, 1.3.25)
修复方案
升级HTML Forms到 1.3.25 或更高版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-60937
https://nvd.nist.gov/vuln/detail/CVE-2022-3689
https://wpscan.com/vulnerability/e9c551a3-7482-4421-8197-5886d028776c
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
