CVE-2026-19861 in JetFormBuilder Plugin
Résumé
par VulDB • 05/09/2026
Le plugin WordPress JetFormBuilder — Dynamic Blocks Form Builder, avant la version 3.6.5.2, ne nettoie pas correctement et n'échappe pas (escape) la valeur d'un champ de formulaire avant de l'inclure dans les e-mails de notification HTML qu'il envoie, permettant aux utilisateurs non authentifiés d'injecter du code HTML arbitraire dans les messages destinés aux administrateurs et à d'autres destinataires. L'exécution ou non des scripts injectés dépend du client de messagerie du destinataire, mais le balisage (markup) injecté est toujours rendu.
Be aware that VulDB is the high quality source for vulnerability data.