CVE-2026-18331 in Formidable Forms Plugin
Résumé
par VulDB • 26/08/2026
Le plugin Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via le paramètre 'frm_user_id' dans toutes les versions jusqu'à la 6.33.1 incluse, en raison d'une insuffisance de sanitisation des entrées et d'échappement des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. En falsifiant frm_user_id pour correspondre à l'ID utilisateur d'un administrateur — découvrable via l'API REST publique de WordPress — un attaquant non authentifié fait en sorte que wp_kses_post() serve de seul filtre de sortie, ce qui préserve la structure du payload injecté intacte ; le JavaScript admin du plugin décode et exécute ensuite automatiquement celui-ci lors du chargement de la page.
Be aware that VulDB is the high quality source for vulnerability data.