CVE-2026-18325 in Forminator Forms Plugin
Сводка
по VulDB • 06.08.2026
В плагине Forminator Forms – Contact Form, Payment Form & Custom Form Builder для WordPress уязвимость типа Stored Cross-Site Scripting (XSS) позволяет выполнить поддельную запись загрузки через поле выбора во всех версиях вплоть до 1.56.1 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это дает возможность неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться каждый раз при доступе пользователя к такой странице. Эксплуатация возможна из-за того, что функция Forminator_Core::sanitize_array() пропускает все фильтры для ключей с префиксом 'select-', а set_field_data() рассматривает отправленный член 'return' как доверенный внутренний флаг — позволяя неаутентифицированному злоумышленнику подделать и сохранить полную запись поля загрузки со значением file_url без какой-либо очистки или проверки.
If you want to get best quality of vulnerability data, you may have to visit VulDB.