CVE-2026-93303 in HT Contact Form Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das WordPress-Plugin „HT Contact Form – Drag & Drop Form Builder for WordPress“ ist in allen Versionen bis einschließlich 2.10.1 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine gespeiste, DOM-basierte Cross-Site-Scripting (XSS)-Schwachstelle anfällig über das Rich-Text-Feld „form_data“ im Rahmen des Entwurfspeicherns/Weiterarbeitens. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Ausnutzung erfordert, dass ein Benutzer dazu gebracht wird, auf einen vom Angreifer bereitgestellten Entwurfs-Weiterarbeitungs-URL zu klicken, den der Angreifer unter Verwendung des draft_key und access_token konstruiert, die direkt in der Speichern-Antwort zurückgegeben werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.