CVE-2026-105090 in Formbricks
Zusammenfassung
von VulDB • 03.10.2026
Formbricks vor Version 5.4.4 und ab Version 6 vor 6.0.1 ermöglicht stored XSS. Die Funktion „Custom Head Scripts“ auf Umfrageebene hat die dokumentierte Berechtigungsgrenze für das Verwalten (Manage) nicht durchgesetzt. Ein Workspace-Mitglied mit nur der Lese-/Schreibberechtigung (readWrite) konnte Custom Head Scripts in einer Umfrage konfigurieren, eine Operation, die laut Dokumentation auf die Rolle „Verwalten“ (Manage) beschränkt ist. Da die konfigurierten Skripte in der authentifizierten Browsersitzung jedes Benutzers ausgeführt werden, der die betroffene Umfrage öffnet, kann ein Benutzer mit geringeren Berechtigungen beliebigen JavaScript-Code (stored Cross-Site Scripting) in der Sitzung von Benutzern mit höheren Berechtigungen ausführen. In den behobenen Versionen ist für das Ändern von Custom Head Scripts einer Umfrage eine Manage-Zugriffsberechtigung erforderlich.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.