CVE-2026-97342 in JetFormBuilder Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das WordPress-Plugin JetFormBuilder — Dynamic Blocks Form Builder ist in allen Versionen bis einschließlich 3.6.5.4 aufgrund unzureichender Eingabevalidierung und Ausgabe-Codierung (Input Sanitization und Output Escaping) für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über das Post Meta-Feld 'choice' im Rahmen der Aktionen Insert/Update Post anfällig. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Das injizierte Payload wird über den nicht authentifizierten Endpunkt wp_ajax_nopriv_jet_form_builder_submit übermittelt, unverändert im Post Meta gespeichert und später durch das Select Field Block-Template uncodiert gerendert, wenn der Generator für die Option 'get_from_db' rohe Metawerte in Optionswertattribute und Beschriftungsinhalte kopiert.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.