CVE-2026-18325 in Forminator Forms Plugin
요약
\~에 의해 VulDB • 2026. 08. 06.
WordPress용 Forminator Forms – Contact Form, Payment Form & Custom Form Builder 플러그인은 모든 버전(1.56.1 포함)에서 불충분한 입력 정제 및 출력 이스케이프 처리로 인해 Select 필드를 통한 위조된 업로드 레코드 저장 방식으로 스토리드 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이로 인해 인증되지 않은 공격자가 삽입된 페이지에 사용자가 접근할 때마다 실행되는 임의 웹 스크립트를 해당 페이지에 주입할 수 있습니다. Forminator_Core::sanitize_array()가 'select-'로 시작하는 키에 대한 모든 필터링을 건너뛰고, set_field_data()가 제출된 'return' 멤버를 신뢰할 수 있는 내부 플래그로 처리하기 때문에 공격자는 정제나 검증 없이 임의의 file_url 값을 가진 완전한 업로드 필드 레코드를 위조하고 영구 저장할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.