CVE-2026-7232

WordPress üçün FormCraft plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 3.9.14 versiyası daxil olmaqla bütün versiyalarda '[parameter name]' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi zərərli səhifəyə daxil olduqda icra edilir. Eksploit zənciri server tərəfli bir boşluğu — field2_0 və field2_1 kimi kompozit matris alt sahə açarlarının təmizləmə dövründən keçməməsi və $wpdb->insert() vasitəsilə olduğu kimi saxlanılması — ilə klient tərəfli bir boşluğun birləşməsindən ibarətdir; burada DOMPurify yalnız typeof field.value === 'string' olduqda çağırılır, lakin matris dəyərləri serverdən massiv şəklində gələrək yoxlamanı yan keçir, daha sonra sətirlərə çevrilir və DOM-a yerləşdirilir. Əlavə olaraq, eyni hədəfə ikinci hücum vektoru vasitəsilə də çatmaq mümkündür: massiv tipli sahə dəyərləri göndərilərkən htmlentities() funksiyasından keçirilir, lakin daha sonra formcraft-main.php:2608 və :2122 sətirlərində html_entity_decode() tərəfindən geri qaytarılaraq, zərərli yük saxlanmazdan və render edilməzdən əvvəl bərpa edilir.