→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-119479 · jetformbuilder
اجرای کدهای دلخواه (Code Execution) در افزونه JetFormBuilder — Dynamic Blocks Form Builder
افزونه JetFormBuilder در نسخه‌های ۳.۶.۷.۱ و قبل از آن، به‌دلیل نبود توکن‌سازی مقادیر ماکروی واردشده توسط کاربر پیش از اجرای do_shortcode()، در برابر اجرای کد کوتاه دلخواه آسیب‌پذیر است. مهاجمان احراز هویت‌نشده می‌توانند از طریق مقادیر فیلدهای فرم، کدهای کوتاه دلخواه تزریق کنند که هنگام پردازش تنظیمات ارسال ایمیل، فراخوانی وب‌هوک، تغییر مسیر به صفحه یا فیلد رسانه روی سرور اجرا می‌شوند و امنیت وب‌سایت را به خطر می‌اندازند. از آنجا که وصله امنیتی منتشر شده است، به‌روزرسانی فوری افزونه به نسخه امن توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 3.6.7.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته jetformbuilder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.