CVE-2026-18328 in Forminator Forms Plugin
الملخص
بحسب VulDB • 25/08/2026
يُعدّ إضافة "Forminator Forms – Contact Form, Payment Form & Custom Form Builder" لـ WordPress عرضة لهجوم XSS منعكس قائم على DOM (DOM-Based Reflected Cross-Site Scripting) عبر المعلمة 'error_description' في جميع الإصدارات حتى 1.57.0 وشاملةً لها، وذلك بسبب عدم كفاية تنقية المدخلات وإخفاء مخرجاتها. وهذا يتيح للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ عند وصول أي مستخدم إلى الصفحة المُحقونة. ولا يمكن تفعيل ثغرة الأمان إلا على الصفحات التي تستضيف نموذجاً من Forminator مُهيّأً لاستخدام واجهة برمجة تطبيقات Stripe Checkout Sessions للدفع، والتي أصبحت هي الإعداد الافتراضي منذ الإصدار 1.56.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.