CVE-2026-88996
WPForms <= 2.0.2 - 'page_title' POST पैरामीटर के माध्यम से परावर्तित क्रॉस-साइट स्क्रिप्टिंग
- प्रकाशित
- 25 सित॰ 2026
- अद्यतन
- 25 सित॰ 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:Nकम · अगले 30 दिन
- प्रतिशत
- 32.8%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More प्लगइन, अपर्याप्त इनपुट सैनिटाइज़ेशन और आउटपुट एस्केपिंग के कारण, {page_title} Smart Tag के माध्यम से 'page_title' POST Parameter के ज़रिए, 2.0.2 तक के सभी संस्करणों में Reflected Cross-Site Scripting के प्रति संवेदनशील है। इससे अनधिकृत हमलावरों के लिए ऐसे पेजों में मनमानी वेब स्क्रिप्ट इंजेक्ट करना संभव हो जाता है जो तब निष्पादित होती हैं जब वे किसी उपयोगकर्ता को किसी लिंक पर क्लिक करने जैसी कार्रवाई करने के लिए सफलतापूर्वक बहका सकें। यह केवल उन फ़ॉर्मों पर शोषणीय है जिनके व्यवस्थापक-द्वारा लिखित पुष्टिकरण संदेश में {page_title} Smart Tag को किसी HTML attribute संदर्भ के भीतर रखा गया हो।
स्रोत
WPForms <= 2.0.2.1 में अनप्रमाणित परावर्तित XSS — attribute-name स्थिति पर CVE-2026-88996 Smart Tag escaping का बायपास
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।