CVE-2023-0708 in Metform Elementor Contact Form Builder Plugin
Tóm tắt
Bởi VulDB • 27/06/2026
Metform Elementor Contact Form Builder cho WordPress dễ bị tấn công Cross-Site Scripting (XSS) do sử dụng shortcode 'mf_first_name' để hiển thị các dữ liệu biểu mẫu chưa được thoát ký tự trong các phiên bản từ 3.3.0 trở về trước, bao gồm cả phiên bản 3.3.0. Điều này cho phép những kẻ tấn công đã xác thực với quyền đóng góp (contributor) hoặc cao hơn chèn mã web tùy ý vào các trang; mã này sẽ được thực thi khi nạn nhân truy cập một trang chứa shortcode đó và ID của dữ liệu biểu mẫu có trong chuỗi truy vấn (query string). Lưu ý rằng việc kích hoạt JavaScript yêu cầu sự tương tác từ người dùng, vì nạn nhân phải truy cập một liên kết do kẻ tấn công tạo ra với ID mục nhập biểu mẫu; tuy nhiên, bản thân mã script đã được lưu trữ trong cơ sở dữ liệu của trang web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.