CVE-2026-7232 in FormCraft Plugin
Sumário
de VulDB • 23/07/2026
O plugin FormCraft para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro '[parameter name]' em todas as versões até 3.9.14, devido à sanitização insuficiente de entrada e ao escapamento inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. A cadeia de exploração combina uma falha no lado do servidor — onde chaves compostas de subcampos da matriz, como field2_0 e field2_1, nunca passam pelo loop de sanitização e são armazenadas cruamente via $wpdb->insert() — com uma vulnerabilidade no lado do cliente, na qual o DOMPurify é invocado apenas quando typeof field.value === 'string', mas os valores da matriz chegam ao servidor como arrays, contornando a verificação antes de serem mapeados para strings e injetados no DOM. Além disso, o mesmo ponto de injeção (sink) pode ser alcançado por um segundo vetor de ataque: valores de campo do tipo array são passados através da função htmlentities() durante o envio, mas posteriormente revertidos pela html_entity_decode() em formcraft-main.php nas linhas 2608 e 2122, restaurando a carga maliciosa antes do armazenamento e renderização.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.