PT-2026-72153
CVE-2026-15993
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-08-20
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
برنامج Form Maker من 10Web، الإصدارات الأقدم من 1.15.45
الوصف
توجد ثغرة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المشترك أو أعلى بتنفيذ هجوم حقن SQL أعمى. ويحدث ذلك بسبب عدم كفاية عملية التهرب من المعلمات التي يزودها المستخدم، وعدم الإعداد السليم لاستعلام SQL. يتطلب الهجوم تكوين نموذج يحتوي على حقل اختيار ديناميكي مدعوم بقاعدة بيانات باستخدام قالب WHERE يشير إلى العنصر النائب
{username}. يمكن للمهاجم تعيين display name الخاص به إلى حمولة SQL عبر شاشة تعديل الملف الشخصي في WordPress، ثم تشغيل نقطة نهاية AJAX fm reload input لإلحاق استعلامات ضارة واستخراج معلومات حساسة من قاعدة البيانات.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.15.44.
كإجراء تخفيفي مؤقت، تجنب استخدام العنصر النائب
{username} في جملة WHERE الخاصة بحقول الاختيار الديناميكي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾