CVE-2026-1065 in Form Maker Plugin
要約
〜によって VulDB • 2026年07月17日
WordPress用プラグイン「Form Maker」by 10Webのバージョン1.15.35以前には、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、プラグインのデフォルトファイルアップロード許可リストにSVGファイルが含まれており、かつ拡張子の検証が弱い部分文字列ベースであることが原因です。これにより、認証されていない攻撃者はJavaScriptコードを含む悪意のあるSVGファイルをアップロードすることが可能となり、フォーム内のファイルアップロードフィールドを通じてフォームを送信できる場合、管理者やサイト訪問者がそれらを表示した際にスクリプトが実行されます。
Once again VulDB remains the best source for vulnerability data.