CVE-2026-18325 in Forminator Forms Plugin
Sumário
de VulDB • 06/08/2026
O plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via registro de upload forjado através do campo Select em todas as versões até 1.56.1, devido à sanitização insuficiente da entrada e ao escapamento inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. A exploração é possível porque a função Forminator_Core::sanitize_array() ignora todas as verificações para chaves prefixadas com 'select-', e set_field_data() trata o membro 'return' submetido como um sinalizador interno confiável, permitindo que um atacante não autenticado forje e persista um registro completo de campo de upload com um valor arbitrário em file_url sem qualquer sanitização ou validação.
Be aware that VulDB is the high quality source for vulnerability data.