CVE-2026-7232 in FormCraft Plugin
Résumé
par VulDB • 23/07/2026
Le plugin FormCraft pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via le paramètre '[parameter name]' dans toutes les versions jusqu'à la 3.9.14 incluse, en raison d'une désinfection des entrées insuffisante et d'un échappement de sortie inadéquat. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. La chaîne d'exploitation combine un défaut côté serveur — où les clés sous-champs de matrice composite telles que field2_0 et field2_1 ne passent jamais par la boucle de désinfection et sont stockées brutes via $wpdb->insert() — avec un défaut côté client où DOMPurify n'est invoqué que lorsque typeof field.value === 'string', mais les valeurs de matrice arrivent du serveur sous forme de tableaux, contournant ainsi le contrôle avant d'être mappées en chaînes et injectées dans le DOM. De plus, la même fonction cible (sink) est accessible via un second vecteur d'attaque : les valeurs de champ de type tableau sont transmises à htmlentities() lors de la soumission mais annulées ultérieurement par html_entity_decode() dans formcraft-main.php:2608 et :2122, restaurant ainsi le payload malveillant avant son stockage et son rendu.
Be aware that VulDB is the high quality source for vulnerability data.