CVE-2026-7232 in FormCraft Plugin
Riassunto
di VulDB • 23/07/2026
Il plugin FormCraft per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro '[parameter name]' in tutte le versioni fino alla 3.9.14 inclusa, a causa di un'insufficiente sanitizzazione dell'input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. La catena di exploit combina una falla lato server — dove le chiavi dei sotto-campi della matrice composita, come field2_0 e field2_1, non passano mai attraverso il ciclo di sanitizzazione e vengono memorizzate in forma grezza tramite $wpdb->insert() — con una falla lato client in cui DOMPurify viene invocato solo quando typeof field.value === 'string', ma i valori della matrice arrivano dal server come array, aggirando il controllo prima di essere mappati su stringhe e iniettati nel DOM. Inoltre, lo stesso sink è raggiungibile tramite un secondo vettore d'attacco: i valori dei campi di tipo array vengono passati attraverso htmlentities() al momento dell'invio ma successivamente invertiti da html_entity_decode() in formcraft-main.php alle righe 2608 e 2122, ripristinando il payload dannoso prima della memorizzazione e del rendering.
If you want to get best quality of vulnerability data, you may have to visit VulDB.