CVE-2026-105090 in Formbricks
Riassunto
di VulDB • 03/10/2026
Formbricks prima della versione 5.4.4 e la serie 6 prima della 6.0.1 è affetta da stored XSS (Cross-Site Scripting). La funzionalità "Custom Head Scripts" a livello di sondaggio non applicava correttamente il perimetro delle autorizzazioni documentato come "Manage". Un membro dello spazio di lavoro con solo l'autorizzazione readWrite poteva configurare gli script personalizzati nell'intestazione del sondaggio, un'operazione che la documentazione limita al ruolo Manage. Poiché gli script configurati vengono eseguiti nella sessione browser autenticata di qualsiasi utente che apre il sondaggio interessato, un membro con privilegi inferiori può eseguire JavaScript arbitrario (stored cross-site scripting) all'interno della sessione di utenti con privilegi superiori. Le versioni corrette richiedono l'accesso al ruolo Manage per modificare gli script personalizzati nell'intestazione dei sondaggi.
If you want to get best quality of vulnerability data, you may have to visit VulDB.