CVE-2026-88996
WPForms <= 2.0.2 - البرمجة النصية عبر المواقع المنعكسة عبر معامل POST 'page_title'
- تم النشر
- 25/09/2026
- محدث
- 25/09/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 32.8%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إن إضافة WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More الخاصة بـ WordPress معرّضة لثغرة Reflected Cross-Site Scripting عبر معامل POST 'page_title' من خلال Smart Tag {page_title} في جميع الإصدارات حتى الإصدار 2.0.2 وما يشمله، وذلك بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. وهذا يجعل من الممكن للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات التي تُنفَّذ إذا تمكنوا من خداع مستخدم بنجاح لتنفيذ إجراء مثل النقر على رابط. لا يمكن استغلال هذه الثغرة إلا في النماذج التي تضع رسالة التأكيد التي أنشأها المسؤول فيها Smart Tag {page_title} داخل سياق سمة HTML.
المصادر
ثغرة XSS انعكاسية غير مصادَق عليها في WPForms <= 2.0.2.1 — تجاوز تهريب Smart Tag الخاص بـ CVE-2026-88996 في موضع اسم السمة
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.