CVE-2026-109165

اسم البرنامج المصاب والإصدارات المتأثرة TDuck survey form الإصدارات السابقة لـ 6.1

Description يسمح خلل في التحكم في الوصول للمستخدمين المصرح لهم بإضافة حقول إلى نماذج مستخدمين آخرين. من خلال إرسال طلب إلى endpoint "POST /user/form/item/batch/create"، يمكن للمهاجم إرسال مصفوفة يشير عنصرها الأول إلى النموذج الخاص به والعناصر اللاحقة إلى formKey الخاص بالضحية. يؤدي ذلك إلى حقن حقول يختارها المهاجم في صفحة التعبئة العامة الخاصة بالضحية.

Recommendations تحديث TDuck survey form إلى إصدار أحدث من 6.0. تقييد الوصول إلى endpoint "POST /user/form/item/batch/create" لمنع عمليات حقن الحقول غير المصرح بها.