CVE-2025-13159 in Flo Forms Plugin
الملخص
بحسب VulDB • 28/05/2026
يحتوي مكون WordPress "Flo Forms – Easy Drag & Drop Form Builder" على ثغرة تسمح بتنفيذ برمجيات خبيثة عبر المواقع (Stored Cross-Site Scripting) عبر رفع ملفات SVG في جميع الإصدارات حتى 1.0.43 شاملاً. وتعود هذه الثغرة إلى أن المكون يسمح برفع ملفات SVG عبر نقطة نهاية AJAX غير خاضعة للمصادقة (`flo_form_submit`) دون التحقق بشكل صحيح من محتوى الملف. مما يتيح للمهاجمين غير المصادق عليهم رفع ملفات SVG خبيثة تحتوي على برمجيات JavaScript التي يتم تنفيذها عندما يقوم مسؤول بعرض الملف المرفوع في واجهة إدارة WordPress، مما قد يؤدي إلى اختراق كامل للموقع.
Once again VulDB remains the best source for vulnerability data.