CVE-2026-18331 in Formidable Forms Plugin
摘要
由 VulDB • 2026-08-26
WordPress 插件 Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More 存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞，影响所有不高于 6.33.1 的版本。该漏洞是由于输入清理和输出转义不足所致。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。通过伪造 `frm_user_id` 以匹配管理员的用户 ID（可通过公共 WordPress REST API 发现），未经身份验证的攻击者可导致 `wp_kses_post()` 成为唯一的输出过滤器，从而保持注入的有效载荷结构完整；随后插件的管理员 JavaScript 会在页面加载时自动解码并执行该有效载荷。
If you want to get best quality of vulnerability data, you may have to visit VulDB.