PT-2026-138789
CVE-2026-120512
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
The Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder الإصدارات السابقة لـ 1.15.51
الوصف
يحدث ثغرة Cross-Site Scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يمكن للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب عشوائية يتم تنفيذها عندما يصل المستخدم إلى صفحة متأثرة. تحدث عملية الاستغلال عندما يفتح المسؤول شاشة التقديمات (Submissions) وينقر على رابط Show-on-Map الخاص بإدخال ملوث، مما يؤدي إلى عرض قيمة
field id التي يتحكم بها المهاجم دون معالجة داخل سلسلة JavaScript في نافذة FormMakerEditCountryinPopup المنبثقة. تتجاوز هذه العملية فحوصات الأمان باستخدام جلسة المسؤول و fm ajax nonce المدمج في الرابط. تتعلق المشكلة بالمعامل wdform <n> element<id> المستخدم في حقول الإدخال المخفية.التوصيات
تحديث المكون الإضافي إلى إصدار أحدث من 1.15.50.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾