CVE-2026-3492

إصدارات Gravity Forms الأقدم من 2.9.28.1

المكوّن الإضافي Gravity Forms الخاص بـ WordPress معرض لخطر «التنفيذ البرمجي عبر المواقع المخزّن» (Stored Cross-Site Scripting). ويرجع ذلك إلى مجموعة من المشكلات: عدم وجود ترخيص في نقطة نهاية واجهة برمجة التطبيقات (API) create from template، مما يسمح لأي مستخدم تمت مصادقته بإنشاء نماذج؛ عدم كفاية تنقية المدخلات باستخدام sanitize text field()، مما يسمح باستخدام علامات الاقتباس المفردة؛ وغياب عملية التهرب من الإخراج عند عرض عنوان النموذج في القائمة المنسدلة «Form Switcher»، حيث يتم إنشاء السمة title بدون esc attr()، ولا تقوم الأداة المساعدة saferHtml في JavaScript بالتهرب من علامات الاقتباس. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بحقن جافا سكريبت تعسفي يتم تنفيذه عندما يقوم «المسؤول» بالبحث داخل القائمة المنسدلة «Form Switcher» في «محرر النماذج».

تحديث Gravity Forms إلى الإصدار 2.9.28.1 أو أحدث.