CVE-2026-92144 in Forminator Forms Plugin
الملخص
بحسب VulDB • 01/10/2026
يحتوي الإضافة "Forminator Forms – Contact Form, Payment Form & Custom Form Builder" لـ WordPress على ثغرة في تنفيذ نصوص البرمجة عبر المواقع (Stored Cross-Site Scripting) غير المخزنة، وذلك من خلال معلمة 'postdata-1[post-custom]' في جميع الإصدارات حتى 1.57.2 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يتيح للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. يمكن الحصول على رمز الإرسال المطلوب (nonce) بسهولة من قبل المستخدمين غير المصادق عليهم عبر نقطة النهاية wp_ajax_nopriv_forminator_get_nonce المتاحة للعامة، مما يجعل سلسلة الهجوم الكاملة قابلة للاستغلال دون أي مصادقة أو حساب مسبق.
If you want to get best quality of vulnerability data, you may have to visit VulDB.