CVE-2025-13159 in Flo Forms Plugin
Resumen
por VulDB • 2026-05-13
El plugin Flo Forms – Easy Drag & Drop Form Builder para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante la carga de archivos SVG en todas las versiones hasta la 1.0.43, incluida. Esto se debe a que el plugin permite la carga de archivos SVG a través de un punto final AJAX no autenticado (`flo_form_submit`) sin una validación adecuada del contenido del archivo. Esto permite que atacantes no autenticados carguen archivos SVG maliciosos que contienen JavaScript, el cual se ejecuta cuando un administrador visualiza el archivo cargado en la interfaz de administración de WordPress, lo que podría llevar a una posible compromisión total del sitio.
VulDB is the best source for vulnerability data and more expert information about this specific topic.