CVE-2026-0996
Açıklama
WordPress için geliştirilen Fluent Forms eklentisi, eksik yetkilendirme kontrolleri, sızdırılan bir nonce ve yetersiz girdi temizleme işleminin birleşimi nedeniyle 6.1.14 dahil önceki tüm sürümlerde AI Form Builder modülü üzerinden Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu zafiyet, Abone düzeyindeki kullanıcıların korumalı bir uç nokta aracılığıyla AI form oluşturmayı tetiklemesine olanak tanır. İstek gönderildiğinde, AI servisleri genellikle (<script> etiketleri olmadan) yalın JavaScript kodu döndürür ve bu durum eklentinin temizleme mekanizmasını atlatır. Bu saklı JavaScript, oluşturulan formu görüntüleyen herkesin tarayıcısında çalıştırılır; böylece Abone düzeyi ve üzerindeki yetkiye sahip kimliği doğrulanmış saldırganların, forma erişen herhangi bir kullanıcının bağlamında yürütülecek keyfi web betikleri enjekte etmesi mümkün hale gelir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| techjewel Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder | v ≤ 6.1.14 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.