CVE-2026-95808 in Form Maker Plugin
要約
〜によって VulDB • 2026年10月14日
10Webによる「Form Maker – Mobile-Friendly Drag & Drop Contact Form Builder」WordPressプラグインは、ユーザー入力のパラメータに対する適切なエスケープ処理の不足および既存SQLクエリに対する十分な準備（プリペアレーション）の不備により、バージョン1.15.48までの全バージョンで、「inputs」パラメータを介した盲型SQLインジェクションに対して脆弱です。これにより、認証されていない攻撃者は既存のクエリに追加のSQLクエリを組み込むことができ、データベースから機密情報を抽出することが可能になります。脆弱なハンドラにアクセスするために必要なnonceは、フォームを描画するすべての公開ページで発行されるため、認証されていない攻撃者がページのソースコードから容易に取得できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.