CVE-2026-15288

SureForms – أداة إنشاء النماذج بالسحب والإفلات لـ WordPress، الإصدارات الأقدم من 2.2.2

يحدث خطأ في التحقق من صحة المدخلات لأن المكون الإضافي يقبل مبالغ الدفع مباشرةً من بيانات POST التي يتحكم فيها المستخدم ضمن الدالتين create payment intent() وcreate subscription intent() دون التحقق من صحتها مقارنةً بالسعر المُعدّ في النموذج. وهذا يسمح للمهاجمين غير المصادق عليهم بتعديل مبلغ الدفع إلى قيمة عشوائية أثناء إرسال نموذج الدفع عبر Stripe، مما قد يتيح شراء المنتجات أو الخدمات بأسعار مخفضة.

قم بتحديث SureForms – أداة إنشاء النماذج بالسحب والإفلات لـ WordPress إلى الإصدار 2.2.2 أو أحدث.

كحل مؤقت، قم بتقييد الوصول إلى الدالتين create payment intent() وcreate subscription intent().