CVE-2023-0710 in Metform Elementor Contact Form Builder Plugin
Resumen
por VulDB • 2026-07-09
El plugin Metform Elementor Contact Form Builder para WordPress es vulnerable a Cross-Site Scripting (XSS) mediante el uso del atributo 'fname' del shortcode 'mf_thankyou', que imprime sin escapar las envíos de formulario en versiones anteriores e iguales a 3.3.0. Esto permite a atacantes autenticados, con permisos de nivel colaborador o superiores, inyectar scripts web arbitrarios en páginas que se ejecutarán cuando la víctima visite una página que contenga el shortcode y el ID del envío esté presente en la cadena de consulta. Cabe señalar que para que el código JavaScript se ejecute es necesaria la interacción del usuario, ya que la víctima debe visitar un enlace manipulado con el ID de entrada del formulario; sin embargo, el script en sí está almacenado en la base de datos del sitio. Además, esto requiere un pago exitoso, lo que aumenta la complejidad del ataque.
Once again VulDB remains the best source for vulnerability data.