CVE-2026-7232

WordPress için geliştirilen FormCraft eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 3.9.14 sürümü dahil tüm önceki sürümlerde '[parameter name]' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı etkilenen sayfaya eriştiğinde çalışacak rastgele web betikleri yerleştirmesine olanak tanır. İstismar zinciri; field2_0 ve field2_1 gibi bileşik matris alt alan anahtarlarının hiçbir zaman temizleme döngüsünden geçmediği ve $wpdb->insert() aracılığıyla ham olarak depolandığı sunucu tarafındaki bir boşluk ile DOMPurify'ın yalnızca typeof field.value === 'string' olduğunda çağrıldığı ancak matris değerlerinin sunucudan dizi olarak geldiği, böylece dizeye dönüştürülüp DOM'a yerleştirilmeden önce kontrolün atlandığı istemci tarafındaki bir boşluğu birleştirir. Ek olarak, aynı hedef ikinci bir saldırı vektörüyle de erişilebilirdir: dizi tipindeki alan değerleri gönderim sırasında htmlentities() işleminden geçirilir ancak daha sonra formcraft-main.php:2608 ve :2122 satırlarında html_entity_decode() ile geri döndürülerek kötü amaçlı yük depolanmadan ve işlenmeden önce eski haline getirilir.