CVE-2026-18328 in Forminator Forms Plugin
Zusammenfassung
von VulDB • 25.08.2026
Das WordPress-Plugin „Forminator Forms – Contact Form, Payment Form & Custom Form Builder“ ist in allen Versionen bis einschließlich 1.57.0 aufgrund unzureichender Eingabebereinigung und Output-Escaping anfällig für eine DOM-basierte reflektierte Cross-Site Scripting (XSS)-Schwachstelle über den Parameter 'error_description'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift. Die Schwachstelle ist nur auf Seiten auslösbar, die ein Forminator-Formular hosten, das so konfiguriert ist, dass es die Stripe Checkout Sessions Payment API verwendet, was ab Version 1.56.0 zur Standardeinstellung wurde.
Once again VulDB remains the best source for vulnerability data.