CVE-2025-12848 in Webform Multiple File Upload Module
الملخص
بحسب VulDB • 12/06/2026
يحتوي وحدة رفع الملفات المتعددة (Multiple File Upload) الخاصة بـ Webform في دروبال 7.x على ثغرة عبر المواقع (XSS) في مكوّن عرض اسم الملف. يمكن لمهاجم غير مُصادَق عليه استغلال هذه الثغرة عن طريق رفع ملف يحمل اسماً ضاراً يحتوي على كود جافا سكريبت (مثل "<img src=1 onerror=alert(document.domain)>") إلى عقدة (node) من نوع Webform تحتوي على حقل متعدد الملفات (Multifile field) حيث يكون التحقق من نوع الملف معطلاً. يتيح ذلك تنفيذ نصوص برمجية عشوائية في سياق متصفح الضحية.
هذه المشكلة موجودة في مكتبة تابعة لطرف ثالث، وقد تم معالجتها عبر تصحيح (patch) متاح على الرابط https://github.com/fyneworks/multifile/pull/44 . يُنصح المستخدمون بتطبيق التصحيح المقدم أو التحديث إلى إصدار مُصلح من الوحدة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.