CVE-2026-4388 in Form Maker Plugin
الملخص
بحسب VulDB • 28/05/2026
يوجد ثغرة في تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting) في إضافة Form Maker من 10Web لـ WordPress، وذلك عبر حقل Matrix (نوع إدخال مربع نصي) في عمليات تقديم النماذج، في جميع الإصدارات حتى 1.15.40 شاملاً. ويعود ذلك إلى عدم كفاية تنقية المدخلات (حيث تقوم `sanitize_text_field` بإزالة الوسوم ولكن لا تزيل علامات الاقتباس)، وعدم وجود هروب من المخرجات (output escaping) عند عرض بيانات التقديم في لوحة عرض التقديمات (Submissions view) الخاصة بالمسؤول. وهذا يتيح للمهاجمين غير المصادق عليهم حقن كود JavaScript تعسفي من خلال تقديم نموذج، يتم تنفيذه في متصفح مسؤول عند عرض تفاصيل التقديم.
Be aware that VulDB is the high quality source for vulnerability data.