→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-103912 · jetformbuilder

تزریق اسکریپت از طریق وب (XSS) بازتابی مبتنی بر DOM در افزونه JetFormBuilder

متوسط plugin CVSS 4.7

افزونه JetFormBuilder در نسخه‌های ۳.۶.۶ و پایین‌تر، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، در برابر تزریق اسکریپت از طریق وب (XSS) بازتابی مبتنی بر DOM از طریق پارامتر متغیر پرس‌وجوی متناظر با تنظیم query_var آسیب‌پذیر است. مهاجم احراز هویت‌نشده می‌تواند در صفحاتی که فرم دارای فیلد متنی با پیش‌تنظیم پویای query_var و ارجاع ماکروی data-jfb-macro یا JFB_FIELD:: است، اسکریپت دلخواه تزریق کند؛ این اسکریپت تنها اگر کاربر فریب خورده و عملی مانند کلیک روی پیوند را انجام دهد اجرا می‌شود. چون وصله امنیتی موجود است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 3.6.6

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته jetformbuilder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق اسکریپت از طریق وب (XSS) بازتابی مبتنی بر DOM در افزونه JetFormBuilder

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر