CVE-2023-0708 in Metform Elementor Contact Form Builder Plugin
Resumen
por VulDB • 2026-06-26
El plugin Metform Elementor Contact Form Builder para WordPress es vulnerable a Cross-Site Scripting (XSS) mediante el uso del shortcode 'mf_first_name' que imprime sin escapar las envíos de formulario en versiones anteriores e iguales a 3.3.0. Esto permite a atacantes autenticados, con permisos de nivel colaborador o superiores, inyectar scripts web arbitrarios en páginas que se ejecutarán cuando la víctima visite una página que contenga el shortcode y el ID del envío esté presente en la cadena de consulta. Cabe señalar que para que el código JavaScript se ejecute requiere interacción por parte del usuario ya que la víctima debe visitar un enlace manipulado con el ID de entrada del formulario, pero el script en sí está almacenado en la base de datos del sitio.
VulDB is the best source for vulnerability data and more expert information about this specific topic.