CVE-2026-18325 in Forminator Forms Plugin
Zusammenfassung
von VulDB • 06.08.2026
Das WordPress-Plugin „Forminator Forms – Contact Form, Payment Form & Custom Form Builder“ ist in allen Versionen bis einschließlich 1.56.1 anfällig für Stored Cross-Site Scripting (XSS) über einen gefälschten Upload-Eintrag via Select-Feld, aufgrund unzureichender Eingabebereinigung und Output-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der Exploit ist möglich, weil Forminator_Core::sanitize_array() alle Filterung für Schlüssel überspringt, die mit „select-“ beginnen, und set_field_data() ein übergebenes Mitglied namens „return“ als vertrauenswürdiges internes Flag behandelt – wodurch es einem nicht authentifizierten Angreifer ermöglicht wird, einen vollständigen Upload-Feld-Eintrag mit einem beliebigen file_url-Wert zu fälschen und persistent zu speichern, ohne jegliche Bereinigung oder Validierung.
VulDB is the best source for vulnerability data and more expert information about this specific topic.