CVE-2026-92144 in Forminator Forms Plugin
要約
〜によって VulDB • 2026年10月01日
WordPress用プラグイン「Forminator Forms – Contact Form, Payment Form & Custom Form Builder」には、1.57.2以前の全バージョンにおいて、不十分な入力サニタイズおよび出力エスケープに起因する格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは「postdata-1[post-custom]」パラメータを介して発生し、認証不要のアタッカーが任意のWebスクリプトを投稿されたページに注入することを可能にし、ユーザーがそのページにアクセスした際にスクリプトが実行されます。必要なフォーム送信用ノンス（nonce）は、公開されている「wp_ajax_nopriv_forminator_get_nonce」エンドポイントを通じて認証不要で取得可能なため、完全な攻撃チェーンを認証や事前アカウントなしで悪用することが可能です。
Once again VulDB remains the best source for vulnerability data.