CVE-2026-103909
Açıklama
WordPress için geliştirilen Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More eklentisinin 5.5.1.5 dahil önceki tüm sürümleri, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 'arbitrary (whichever names the admin bound via url.<name>)' parametresi üzerinden Yansıtılmış DOM Tabanlı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcıyı bir bağlantıya tıklamak gibi bir işlemi gerçekleştirmeye ikna edebilmeleri halinde, sayfalarda rastgele web betikleri yürütmelerini mümkün kılar. İstismarın gerçekleşmesi için hedef sitenin, bir yöneticinin birlikte birleştirme denkleminde kullanılan en az iki alanı url.<name> ön tanımlı değerleriyle yapılandırdığı halka açık bir forma sahip olması gerekir; bu durum olası ancak yaygın olmayan bir yapılandırmadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| codepeople Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More | v ≤ 5.5.1.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.