CVE-2026-18325
Təsvir
WordPress üçün nəzərdə tutulmuş Forminator Forms – Contact Form, Payment Form & Custom Form Builder plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 1.56.1 daxil olmaqla bütün versiyalarda Select sahəsi vasitəsilə saxtalaşdırılmış yükləmə qeydi üzərindən Stored Cross-Site Scripting zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Eksployt ondan ibarətdir ki, Forminator_Core::sanitize_array() funksiyası 'select-' prefiksi ilə başlayan açarlar üçün bütün filtrləmələri ötürür və set_field_data() göndərilmiş 'return' üzvünü etibarlı daxili bayraq kimi qəbul edir — bu isə autentifikasiya olunmamış hücumçuya heç bir təmizləmə və ya təsdiqləmə olmadan istənilən file_url dəyəri ilə tam yükləmə sahəsi qeydini saxtalaşdırmağa və saxlamayağa imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wpmudev Forminator Forms – Contact Form, Payment Form & Custom Form Builder | v ≤ 1.56.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.