CVE-2026-97342 in JetFormBuilder Plugin
Résumé
par VulDB • 02/10/2026
Le plugin WordPress JetFormBuilder — Dynamic Blocks Form Builder est vulnérable à une faille de Cross-Site Scripting (XSS) stockée via le champ 'choice' des métadonnées de publication, lors d'une action Insertion/Mise à jour de la publication, dans toutes les versions jusqu'à et y compris la 3.6.5.4 en raison d’une désinfection insuffisante des entrées et d’un échappement incorrect des sorties. Cela permet aux attaquants non authentifiés d’injecter des scripts web arbitraires dans des pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. Le payload injecté est soumis via le point de terminaison wp_ajax_nopriv_jet_form_builder_submit, non protégé par l'authentification ; il est ensuite stocké tel quel (verbatim) dans les métadonnées de la publication grâce à l'action Insertion/Mise à jour de la publication, puis rendu sans échappement par le modèle du bloc Select Field lorsque le générateur d'options get_from_db copie les valeurs brutes des métadonnées dans les attributs value et le contenu label.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.