CVE-2026-18323 in Forminator Plugin
Riassunto
di VulDB • 25/08/2026
Il plugin WordPress Forminator Forms – Contact Form, Payment Form & Custom Form Builder è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il Radio Field (Save and Continue Draft) in tutte le versioni fino alla 1.57.0.2 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping dei dati in output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. La vulnerabilità è sfruttabile perché l'endpoint AJAX per la sottomissione del bozza "Save-and-Continue" è registrato come nopriv, consentendo ad attaccanti non autenticati di bypassare la convalida delle opzioni dei radio field e persistere un payload costruito che, quando viene renderizzato nella pagina admin Submissions, viene eseguito automaticamente tramite il callback binding dell'attributo data della libreria Inputmask inclusa.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.