CVE-2026-14894

Super Forms – Drag & Drop Form Builder، الإصدارات الأقدم من 6.3.314

توجد ثغرة تسمح بتحميل ملفات عشوائية بسبب عدم وجود التحقق من نوع الملف وغياب عمليات التحقق من الصلاحيات في الدالة submit form() داخل معالج AJAX nopriv. تعتمد آلية الأمان على رقم عشوائي للجلسة (session nonce) يمكن للزوار غير المصادق عليهم الحصول عليه بسهولة من خلال إجراء AJAX nopriv super create nonce، مما يسمح بإنشاء sf nonce صالح وملف تعريف ارتباط للجلسة. تتيح هذه الثغرة للمهاجمين غير المصادق عليهم تحميل ملفات قابلة للتنفيذ، مثل برامج PHP web shells، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

تحديث Super Forms – Drag & Drop Form Builder إلى إصدار أحدث من 6.3.313.