CVE-2026-1065 in Form Maker Plugin
Riassunto
di VulDB • 09/07/2026
Il plugin Form Maker di 10Web per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) in tutte le versioni fino alla 1.15.35, incluse. La vulnerabilità è dovuta all'allowlist predefinita del plugin per l'upload dei file che include i file SVG, combinata con una debole validazione dell'estensione basata su sottostringhe. Ciò consente ad attaccanti non autenticati di caricare file SVG malevoli contenenti codice JavaScript che verrà eseguito quando visualizzati da amministratori o visitatori del sito tramite campi di upload dei file nei form, purché gli attaccanti siano in grado di inviare i moduli.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.