→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-91152 · everest-forms

تزریق اسکریپت بازتابی (Reflected XSS) در افزونه Everest Forms

افزونه Everest Forms در نسخه‌های ۳.۶.۲ و پیش از آن، به‌دلیل پاک‌سازی ناکافی ورودی و گریز نادرست خروجی، از طریق پارامتر evf_toast_type در برابر تزریق اسکریپت بازتابی (Reflected XSS) آسیب‌پذیر است. مهاجم بدون احراز هویت می‌تواند با فریب کاربر برای انجام عملی مانند کلیک روی یک پیوند، اسکریپت دلخواه را در صفحه اجرا کند؛ پیش‌نیاز بهره‌برداری، رمزگشایی موفق پارامتر همراه evf_toast با atob() است که به‌سادگی در اختیار مهاجم قرار می‌گیرد. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا از دیوار آتش برنامه‌های وب (WAF) استفاده کنید.