PT-2026-61953
CVE-2026-65050
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
إضافة Ninja Forms لـ WordPress الإصدارات السابقة لـ 3.14.9
الوصف
توجد مشكلة في نقص التصريح في دالة استدعاء الرندرة الخاصة بكتلة Gutenberg المسماة
ninja-forms/submissions-table. يمكن للمهاجمين المصرح لهم بصلاحيات مستوى "مؤلف" (Author) تضمين هذه الكتلة باستخدام formID عشوائي في منشور منشور، مما يؤدي إلى كشف عمليات إرسال النماذج المخزنة للزوار غير المصرح لهم. ومن خلال استرداد رمز حامل التوقيع (signed bearer token) الذي يتم حقنه في متصفح الزائر عبر wp localize script ، يمكن للمهاجمين استهداف نقطة نهاية إرسال واجهة برمجة تطبيقات REST للوصول إلى معلومات تحديد الهوية الشخصية الحساسة، بما في ذلك الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف.التوصيات
تحديث إضافة Ninja Forms لـ WordPress إلى الإصدار 3.14.9 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾