یک آسیب‌پذیری امنیتی با شناسه CVE-2026-87071 در افزونه Forminator Forms برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت (Unauthenticated)، متادیتای دلخواه خود را به پست‌های ایجاد شده از طریق فرم‌ها تزریق کنند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 1.57.2.1، این افزونه محدودیت‌های لازم برای کلیدهای متادیتای ارسالی در فرم‌ها را اعمال نمی‌کند. همچنین، کلیدهایی که وردپرس برای مصارف داخلی خود رزرو کرده است، در فرآیند ارسال فرم فیلتر نمی‌شوند. در نتیجه، هر بازدیدکننده‌ای که یک فرم عمومی (که قابلیت ایجاد پست را دارد) را پر کند، می‌تواند متادیتای произвоی را به پستی که در اثر ارسال فرم ایجاد می‌شود، پیوست کند.
شرایط بهره‌برداری و محدوده اثر
- شرط فعال بودن: این آسیب‌پذیری تنها در فرم‌هایی فعال است که صراحتاً با قابلیت Post-Creation پیکربندی شده‌اند (فرم‌هایی که محتوای پست را جمع‌آوری کرده و برای هر ارسال، یک پست جدید منتشر می‌کنند).
- محدودیت‌ها: فرم‌های معمولی مانند فرم‌های تماس (Contact)، جذب لید (Lead) یا خبرنامه که منجر به ایجاد پست در دیتابیس نمی‌شوند، در برابر این حمله آسیب‌پذیر نیستند.
- تاثیر: این نقص عمدتاً بر روی Integrity (یکپارچگی داده‌ها) تاثیر می‌گذارد و منجر به تغییر متادیتای غیرمجاز می‌شود، اما تاثیر مستقیمی بر روی محرمانگی (Confidentiality) یا در دسترس بودن (Availability) سیستم ندارد.
توصیه‌های امنیتی
به مدیران وب‌سایت‌های وردپرسی توصیه می‌شود در سریع‌ترین زمان ممکن افزونه Forminator Forms را به نسخه 1.57.2.1 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از بروز این مشکل جلوگیری شود.
