CVE-2020-28246

Form.io versão 2.0.0

Foi descoberta uma vulnerabilidade de injeção de modelo no lado do servidor (SSTI), levando à execução remota de código durante a exclusão da URL padrão do modelo de e-mail. O serviço de modelos de e-mail foi removido após 2020. O fornecedor contesta essa vulnerabilidade, indicando que ela está isolada em sandbox e só pode ser executada por administradores.

Para a versão 2.0.0 do Form.io, como solução temporária, considere restringir o acesso à funcionalidade de exclusão da URL do modelo de e-mail padrão até que uma correção esteja disponível. Além disso, como o serviço de modelos de e-mail foi removido após 2020, garantir que esse serviço não seja reativado pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.