PT-2026-138778
CVE-2026-118067
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Form Maker by 10Web الإصدارات السابقة لـ 1.15.51
الوصف
يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات (output escaping) إلى السماح للمهاجمين غير المصرح لهم بتنفيذ هجوم Stored Cross-Site Scripting (XSS)، وهي تقنية يتم من خلالها تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف. يحدث هذا عبر المعاملات
wdform <field id> element<form id> و disabled fields<form id>. يتطلب الهجوم أن يحتوي النموذج المستهدف على حقل تحميل ملفات، حيث يستخدم المهاجم المعامل disabled fields لتعطيل صف تخزين ذلك الحقل، مما يؤدي إلى إزاحة قيمة حقل نصي يتم التحكم فيه إلى موضع يتم فيه تخطي عملية المعالجة. يتم تنفيذ النص البرمجي المحقون عندما يفتح المسؤول صفحة التقديمات (Submissions) للنموذج المتأثر.التوصيات
التحديث إلى إصدار أحدث من 1.15.50.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾