یک آسیب‌پذیری امنیتی با شناسه CVE-2026-87070 در افزونه Forminator Forms برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی که در نسخه‌های پیش از 1.57.2.1 وجود دارد، به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت (Unauthenticated)، عملیات جعل هدر (Header Spoofing) را اجرا کنند.
جزئیات فنی آسیب‌پذیری
این مشکل به دلیل عدم اعتبارسنجی درخواست‌ها توسط افزونه پیش از پذیرش هدرهای ارسالی توسط کلاینت (مانند X-Forwarded-For) رخ می‌دهد. افزونه مذکور به جای استفاده از آدرس IP واقعی اتصال، به هدرهای Forwarding اعتماد می‌کند بدون اینکه بررسی کند آیا درخواست از یک پروکسی مورد اعتماد (Trusted Proxy) ارسال شده است یا خیر.
تاثیرات امنیتی
- دور زدن محدودیت‌های رای‌گیری: مهاجمان می‌توانند با تغییر IPهای جعلی در هر درخواست، محدودیت‌های رای‌گیری برای هر بازدیدکننده (Per-visitor voting limit) را دور زده و به‌طور نامحدود در نظرسنجی‌ها رای دهند.
- دستکاری متادیتای ارسالی: آدرس IP ثبت شده برای هر فرم ارسالی توسط مهاجم قابل انتخاب است، که منجر به تخریب یکپارچگی (Integrity) داده‌های ذخیره شده در دیتابیس می‌شود.
تحلیل ریسک
این آسیب‌پذیری با امتیاز CVSS 5.3 (Medium) رتبه‌بندی شده است. با توجه به اینکه این نقص منجر به اجرای کد (RCE)، افشای داده‌های حساس یا از دسترس خارج شدن سرویس (DoS) نمی‌شود و تنها بر روی یکپارچگی داده‌های فرم‌ها تاثیر می‌گذارد، سطح خطر آن متوسط ارزیابی شده است.
