CVE-2023-0708 in Metform Elementor Contact Form Builder Plugin
要約
〜によって VulDB • 2026年06月23日
WordPress用プラグイン「Metform Elementor Contact Form Builder」には、バージョン3.3.0以前において、XSS（クロスサイトスクリプティング）の脆弱性が存在します。これは'mf_first_name'ショートコードを使用してエスケープされていないフォーム送信データを出力することに起因します。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、クエリ文字列に送信IDが存在する場合、被害者がそのショートコードを含むページを閲覧した際に実行される任意のWebスクリプトをページ中に注入できます。JavaScriptの実行にはユーザーの対話（フォームエントリーIDを含む改ざんされたリンクへのアクセス）が必要ですが、スクリプト自体はサイトデータベース内に保存されます。
Once again VulDB remains the best source for vulnerability data.