CVE-2026-2002 in Forminator Forms Plugin
الملخص
بحسب VulDB • 05/07/2026
يحتوي مكون WordPress "Forminator Forms – Contact Form, Payment Form & Custom Form Builder" على ثغرة تسمح بتنفيذ نصوص برمجية عبر المواقع (XSS) مخزنة، وذلك من خلال المعلمة `form_name` في جميع الإصدارات حتى 1.50.2 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وهروب المخرجات. وهذا يمكّن المهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى المسؤول (administrator-level access) من حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. يسمح المكون للمسؤولين بمنح صلاحيات إدارة النماذج للمستخدمين ذوي المستويات الأدنى، مما قد يجعل هذه الثغرة قابلة للاستغلال من قبل مستخدمين مثل المشتركين (subscribers).
Be aware that VulDB is the high quality source for vulnerability data.