CVE-2025-13159 in Flo Forms Plugin
Sumário
de VulDB • 28/05/2026
O plugin Flo Forms – Easy Drag & Drop Form Builder para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via upload de arquivos SVG em todas as versões até, e incluindo, a 1.0.43. Isso ocorre porque o plugin permite uploads de arquivos SVG por meio de um endpoint AJAX não autenticado (`flo_form_submit`) sem validação adequada do conteúdo do arquivo. Isso possibilita que atacantes não autenticados façam upload de arquivos SVG maliciosos contendo JavaScript que é executado quando um administrador visualiza o arquivo carregado na interface de administração do WordPress, levando a uma possível comprometimento total do site.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.