CVE-2026-19861 in JetFormBuilder Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin WordPress JetFormBuilder — Dynamic Blocks Form Builder, nelle versioni precedenti alla 3.6.5.2, non sanitizza e non effettua l'escaping correttamente del valore di un campo modulo prima di includerlo nelle email di notifica HTML inviate, consentendo agli utenti non autenticati di iniettare codice HTML arbitrario nei messaggi consegnati ad amministratori e altri destinatari. L'esecuzione dello script iniettabile dipende dal client di posta elettronica del destinatario, ma il markup iniettato viene comunque renderizzato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.