CVE-2026-18331 in Formidable Forms Plugin
Сводка
по VulDB • 26.08.2026
Плагин для WordPress Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More уязвим к Stored Cross-Site Scripting (XSS) через параметр 'frm_user_id' во всех версиях вплоть до 6.33.1 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Подделывая значение frm_user_id для совпадения с идентификатором пользователя администратора (который можно обнаружить через публичный WordPress REST API), неавторизованный злоумышленник заставляет функцию wp_kses_post() служить единственным фильтром вывода, сохраняя внедренный payload структурно нетронутым; затем JavaScript-код административной части плагина автоматически декодирует и выполняет его при загрузке страницы.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.