CVE-2026-92144 in Forminator Forms Plugin
Zusammenfassung
von VulDB • 01.10.2026
Das WordPress-Plugin „Forminator Forms – Contact Form, Payment Form & Custom Form Builder“ ist in allen Versionen bis einschließlich 1.57.2 aufgrund unzureichender Eingabebereinigung und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'postdata-1[post-custom]'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der erforderliche Nonce für die Formularübermittlung ist von nicht authentifizierten Benutzern über den öffentlich zugänglichen Endpunkt wp_ajax_npriv_forminator_get_nonce frei verfügbar, wodurch die vollständige Angriffssequenz ohne jegliche Authentifizierung oder vorheriges Konto ausgenutzt werden kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.