Alexander Künzl

Usuários de backend com permissões de escrita de arquivos podem burlar as restrições de upload do Form Framework utilizando extensões com letras maiúsculas e minúsculas misturadas, como `.FORM.YAML`. Isso permite o upload de arquivos de definição de formulário maliciosos que podem executar instruções SQL arbitrárias, permitindo que atacantes escalem privilégios ao criar contas de usuário administrativo no backend.

O problema permite que usuários de backend com nível de administrador, sem privilégios de mantenedor do sistema, escalem seus privilégios e obtenham acesso de mantenedor do sistema. A exploração disso requer uma conta de administrador válida.