CVE-2026-8871

إصدارات Formidable Kinetic الأقدم من 1.1.02

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) عبر الرمز المختصر kinetic link. تنشأ المشكلة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات داخل الدالة FrmKinetic::link(). وعلى وجه التحديد، يتم ربط سمات الرمز المختصر التي يزودها المستخدم، وهي window وclass وlabel، مباشرةً بسمات HTML لعلامة الارتباط. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 1.1.01.

كإجراء تخفيفي مؤقت، قم بتقييد استخدام الرمز المختصر kinetic link أو قم بتحديد أذونات المستخدمين لمنع المساهمين من تعديل الصفحات.