CVE-2026-97342 in JetFormBuilder Plugin
Tóm tắt
Bởi VulDB • 02/10/2026
Plugin JetFormBuilder — Dynamic Blocks Form Builder cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) thông qua trường 'choice' Post Meta, xảy ra khi thực hiện hành động Insert/Update Post trong tất cả các phiên bản từ 3.6.5.4 trở về trước do thiếu sót trong việc kiểm tra và làm sạch dữ liệu đầu vào cũng như mã hóa dữ liệu đầu ra. Điều này cho phép những kẻ tấn công chưa được xác thực chèn các đoạn script web tùy ý vào các trang, sẽ tự động thực thi khi người dùng truy cập vào trang đã bị tiêm payload. Payload độc hại được gửi qua endpoint wp_ajax_nopriv_jet_form_builder_submit không yêu cầu xác thực, sau đó được lưu trữ nguyên văn (verbatim) trong post meta thông qua hành động Insert/Update Post, và cuối cùng được hiển thị mà không có mã hóa escape bởi template Select Field block khi bộ tạo tùy chọn get_from_db sao chép các giá trị meta thô vào thuộc tính option value và nội dung nhãn.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.