→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-92098 · contact-form-7-multi-step-module

تزریق اسکریپت بازتابی (Reflected XSS) در افزونه Webheadcoder Multi-Step Forms for Contact Form 7

افزونه Webheadcoder Multi-Step Forms for Contact Form 7 در همه نسخه‌های تا ۴٫۷، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، از طریق پارامتر l10n_print_after در برابر تزریق اسکریپت بازتابی آسیب‌پذیر است. مهاجم احراز هویت‌نشده می‌تواند اسکریپت دلخواه را در صفحه تزریق کند که اگر کاربر را به انجام عملی مانند کلیک روی یک پیوند فریب دهد اجرا می‌شود؛ بهره‌برداری موفق نیازمند پیکربندی حداقل یک فرم Contact Form 7 با برچسب multistep است. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا از فایروال برنامه وب استفاده کنید و از نصب یا ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید.