PT-2026-133724
CVE-2026-97638
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Forminator Forms – Contact Form, Payment Form & Custom Form Builder الإصدارات السابقة لـ 1.57.3.2
الوصف
يحدث خطأ مرجع كائن مباشر غير آمن بسبب فقدان التحقق من مفتاح يتحكم فيه المستخدم. يمكن للمهاجمين غير المصرح لهم حذف مسودات محفوظة عشوائية لمستخدمين آخرين والاستيلاء على معرفات تلك المسودات عن طريق استبدالها بإرسالات نماذج يتحكم فيها المهاجم. يتطلب هذا الاستغلال أن يحصل المهاجم على
draft id الخاص بالضحية، والذي يمكن جمعه من رابط "المتابعة لاحقاً" المشترك. يتم تجاوز فحص nonce لأن nonce متاح علناً لأي زائر غير مصرح له يقوم بتحميل صفحة النموذج. يتم تحفيز هذه المشكلة عبر المعلمة previous draft id.التوصيات
تحديث Forminator Forms – Contact Form, Payment Form & Custom Form Builder إلى الإصدار 1.57.3.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾