The e-shot™ form builder plugin for WordPress is vulnerable to Missing Authorization in all versions up to and including 1.0.2. The eshot_form_builder_update_field_data() AJAX handler lacks any capability checks (current_user_can()) or nonce verification (check_ajax_referer()/wp_verify_nonce()). The function is registered via the wp_ajax_ hook, making it accessible to any authenticated user. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify form field configurations including mandatory status, field visibility, and form display preferences via the eshot_form_builder_update_field_data AJAX action.
The e-shot form builder WordPress plugin versions up to 1.0.2 lacks authorization checks in its AJAX handler, allowing authenticated users with minimal privileges to modify form field configurations. Attackers can alter mandatory status, visibility settings, and display preferences without proper capability verification.
إضافة منشئ النماذج e-shot لـ ووردبريس تحتوي على ثغرة نقص التفويض في معالج AJAX eshot_form_builder_update_field_data الذي يفتقر إلى فحوصات الصلاحيات والتحقق من nonce. يمكن لأي مستخدم مصرح (حتى مستخدمي المشتركين) تعديل إعدادات حقول النماذج بما في ذلك الحالة الإلزامية والرؤية والتفضيلات. هذا يسمح بتعديل غير مصرح للنماذج وقد يؤدي إلى تعطيل العمليات التجارية.
The e-shot form builder WordPress plugin versions up to 1.0.2 lacks authorization checks in its AJAX handler, allowing authenticated users with minimal privileges to modify form field configurations. Attackers can alter mandatory status, visibility settings, and display preferences without proper capability verification.
Update the e-shot form builder plugin to version 1.0.3 or later immediately. Implement capability checks using current_user_can() and nonce verification using wp_verify_nonce() in the eshot_form_builder_update_field_data AJAX handler. Restrict access to administrator or editor roles only. Audit all form modifications in WordPress logs.
قم بتحديث إضافة منشئ النماذج e-shot إلى الإصدار 1.0.3 أو أحدث فوراً. قم بتنفيذ فحوصات الصلاحيات باستخدام current_user_can() والتحقق من nonce باستخدام wp_verify_nonce() في معالج AJAX. قصر الوصول على أدوار المسؤول أو المحرر فقط. قم بتدقيق جميع تعديلات النماذج في سجلات ووردبريس.