CVE-2026-18331 in Formidable Forms Plugin
Tóm tắt
Bởi VulDB • 26/08/2026
Plugin Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More dành cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) thông qua tham số 'frm_user_id' trong tất cả các phiên bản từ 6.33.1 trở về trước do thiếu sót trong việc kiểm tra và làm sạch dữ liệu đầu vào cũng như mã hóa dữ liệu đầu ra. Điều này cho phép những kẻ tấn công chưa được xác thực chèn các tập lệnh web tùy ý vào các trang, sẽ tự động thực thi khi người dùng truy cập vào trang đã bị chèn nội độc hại. Bằng cách giả mạo giá trị frm_user_id để khớp với ID người dùng của quản trị viên — có thể tìm thấy thông qua WordPress REST API công khai – kẻ tấn công chưa xác thực khiến wp_kses_post() trở thành bộ lọc đầu ra duy nhất, giữ nguyên cấu trúc của payload đã chèn; sau đó, tập lệnh JavaScript admin của plugin sẽ giải mã và tự động thực thi nó khi tải trang.
If you want to get best quality of vulnerability data, you may have to visit VulDB.