PT-2026-134912
CVE-2026-119480
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
JetFormBuilder الإصدارات السابقة لـ 3.6.8
الوصف
توجد ثغرة من نوع Path Traversal بسبب فقدان التحقق من ملكية معرفات المرفقات (attachment IDs) المقدمة عبر JSON الخاص بإعدادات تحميل حقل الوسائط. يسمح هذا للمستخدمين المصرح لهم، ممن لديهم صلاحيات مشترك أو أعلى، بالإشارة إلى مرفقات لم يقوموا بتحميلها. من خلال تقديم معرف مرفق تم التلاعب به، يمكن للمهاجم تفعيل روتين تنظيف الوسائط للتعامل مع الملف كأنه تحميل سابق تابع للطلب الحالي، مما يؤدي إلى حذف مرفقات وسائط عشوائية.
التوصيات
تحديث JetFormBuilder إلى الإصدار 3.6.8 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾