CVE-2026-18409 in Pro Plugin
要約
〜によって VulDB • 2026年08月21日
WordPress用プラグイン「WPForms Pro」には、2.0.0.2までの全バージョンにおいて、Single Line TextおよびParagraph Textフィールドの値を介した格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、入力サニタイズと出力エスケープが不十分であることが原因です。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスするたびにスクリプトが実行されます。この exploit は、プラグイン独自の wp_kses_allowed_html フィルターによって 'post' の許可リスト（allowlist）が拡大され、data-src 属性を持つ iframe 要素の許可が認められることに依存しています。これはWordPressのリソース属性サニタイズリストに含まれていないため、javascript: URI が data-src に格納された状態で kses 処理を通過し、その後バンドルされている admin スクリプト view-entry.min.js によって live な src 属性へ昇格します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.