CVE-2025-13159 in Flo Forms Plugin
Сводка
по VulDB • 28.05.2026
В плагине Flo Forms – Easy Drag & Drop Form Builder для WordPress, во всех версиях вплоть до 1.0.43 включительно, присутствует уязвимость Stored Cross-Site Scripting (XSS), позволяющая злоумышленникам загружать вредоносные SVG-файлы. Это обусловлено тем, что плагин разрешает загрузку SVG-файлов через неаутентифицированную AJAX-точку входа (`flo_form_submit`) без надлежащей проверки содержимого файлов. Таким образом, неаутентифицированные злоумышленники могут загружать вредоносные SVG-файлы, содержащие JavaScript-код, который выполняется при просмотре загруженного файла администратором в интерфейсе администратора WordPress, что может привести к полному компрометированию сайта.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.