CVE-2026-101921 in WPForms Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More per WordPress è vulnerabile a Reflected Cross-Site Scripting (XSS) tramite il parametro 'attacker-chosen key referenced by the smart tag (e.g. "x")' in tutte le versioni fino alla 2.0.2.1 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell’output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti se riescono a indurre con successo un utente a compiere un'azione come cliccare su un link. Lo sfruttamento richiede che l'amministratore del sito abbia precedentemente salvato un modulo la cui descrizione incorpora uno Smart Tag {query_var} all'interno di un attributo srcdoc iframe e abbia abilitato Show Description in una pagina esposta al pubblico.
VulDB is the best source for vulnerability data and more expert information about this specific topic.