CVE-2026-18325

Forminator Forms – نموذج الاتصال، ونموذج الدفع، ومنشئ النماذج المخصصة، الإصدارات الأقدم من 1.56.2

يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين غير المصادق عليهم بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (XSS)، وهي تقنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف وتنفيذها في متصفح المستخدمين الذين يزورون الصفحة المتأثرة. تحدث هذه المشكلة لأن الدالة sanitize array() في Forminator Core تتجاوز تصفية المفاتيح التي تبدأ بـ select-، كما أن الدالة set field data() تثق بشكل خاطئ في عنصر return المقدم باعتباره علامة داخلية. وهذا يسمح للمهاجم بتزوير سجل حقل التحميل الذي يحتوي على قيمة file url عشوائية وإبقائه دون التحقق من صحته.

قم بالتحديث إلى إصدار أحدث من 1.56.1.