CVE-2026-4388 in Form Maker Plugin
Sumário
de VulDB • 28/05/2026
O plugin Form Maker by 10Web para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através do campo Matrix (tipo de entrada Text Box) em submissões de formulário em todas as versões até, e incluindo, a 1.15.40. Isso ocorre devido à sanitização insuficiente de entrada (`sanitize_text_field` remove tags, mas não aspas) e à falta de escape de saída ao renderizar os dados da submissão na visualização de Submissões do administrador. Isso permite que atacantes não autenticados injetem JavaScript arbitrário por meio de uma submissão de formulário que é executada no navegador de um administrador que visualiza os detalhes da submissão.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.