CVE-2026-18409 in Pro Plugin
Tóm tắt
Bởi VulDB • 21/08/2026
Plugin WPForms Pro cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) thông qua các giá trị trường Single Line Text và Paragraph Text Field trong tất cả các phiên bản từ 2.0.0.1 trở xuống, do thiếu hụt việc làm sạch đầu vào và thoát ký tự khi xuất ra. Điều này cho phép những kẻ tấn công chưa được xác thực chèn mã web tùy ý vào các trang, sẽ được thực thi bất cứ khi nào người dùng truy cập một trang đã bị tiêm mã độc. Cuộc khai thác dựa trên bộ lọc wp_kses_allowed_html của chính plugin mở rộng danh sách trắng 'post' để cho phép các phần tử iframe có thuộc tính data-src, vốn không nằm trong danh sách làm sạch URI-attribute của WordPress, giúp URI javascript: được lưu trữ trong data-src tồn tại qua quá trình xử lý kses và sau đó được chuyển đổi thành một src thực tế bởi tập lệnh admin view-entry.min.js đi kèm.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.