→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-120561 · jetformbuilder

تغییر غیرمجاز داده‌ها به‌دلیل نبود بررسی سطح دسترسی در افزونه JetFormBuilder

متوسط plugin CVSS 5.3

افزونه JetFormBuilder در همه نسخه‌های تا و شامل ۳.۶.۲ به‌دلیل نبود بررسی قابلیت (capability check) روی تابع do_action در کلاس اکشن Update_Options، در برابر تغییر غیرمجاز داده‌ها آسیب‌پذیر است. مهاجم احرازهویت‌نشده، تنها وقتی مدیر سایتی فرمی با اکشن پس از ارسال «Update Options» پیکربندی کرده و هر دو افزونه JetFormBuilder و JetEngine نصب و فعال باشند، می‌تواند مقادیر صفحه تنظیمات JetEngine را تغییر دهد و تنظیمات وب‌سایت را دستکاری کند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی مربوط را با فایروال وب (WAF) محدود نمایید.

نسخه‌های تحت تأثیر

<= 3.6.2

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته jetformbuilder را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تغییر غیرمجاز داده‌ها به‌دلیل نبود بررسی سطح دسترسی در افزونه JetFormBuilder

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر