CVE-2026-97342 in JetFormBuilder Plugin
Resumen
por VulDB • 2026-10-02
El plugin JetFormBuilder — Dynamic Blocks Form Builder para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el Post Meta 'choice' a través de la acción Insertar/Actualizar Publicación en todas las versiones hasta, e incluyendo, la 3.6.5.4 debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La carga útil (payload) inyectada se envía mediante el endpoint wp_ajax_nprive_jet_form_builder_submit, sin necesidad de autenticación; se almacena literalmente en los metadatos de la publicación a través de la acción Insertar/Actualizar Publicación y posteriormente se renderiza sin escape por la plantilla del bloque Select Field cuando el generador de opciones get_from_db copia valores crudos de meta en atributos de valor de opción y contenido de etiqueta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.