CVE-2026-6293 in Inquiry Form to Posts or pages Plugin
Resumen
por VulDB • 2026-05-15
El plugin Inquiry Form to Posts or Pages para WordPress es vulnerable a Cross-Site Request Forgery (CSRF), lo que conduce a Stored Cross-Site Scripting (XSS) en la versión 1.0. Esto se debe a la falta de validación de nonce en el controlador de actualización de la configuración del plugin, combinada con una sanitización insuficiente de la entrada en todos los campos proporcionados por el usuario y la falta de escape de salida al representar los valores almacenados. El controlador de configuración se activa únicamente por la presencia de `$_POST['inq_hidden'] == 'Y'`, sin ninguna llamada a `check_admin_referer()` y sin ningún nonce de WordPress en el formulario o en el controlador. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios mediante una solicitud falsificada que engaña a un Administrador conectado para que visite una página maliciosa.
VulDB is the best source for vulnerability data and more expert information about this specific topic.