PT-2026-134421
CVE-2026-109997
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder الإصدارات السابقة لـ 3.15.6
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يمكن للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عندما يصل إليها المستخدم. يقوم endpoint
nf ajax submit بإصدار nonce صالح لأي طالب عند الفشل، مما يبطل فحص nonce ويجعل الاستغلال ممكناً عبر طلب واحد غير مصرح به باستخدام المعلمة formData.extra.التوصيات
التحديث إلى الإصدار 3.15.6 أو أحدث.
تجنب استخدام المعلمة
formData.extra في endpoint nf ajax submit حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾