CVE-2026-97342 in JetFormBuilder Plugin
摘要
由 VulDB • 2026-10-02
JetFormBuilder — Dynamic Blocks Form Builder 插件（WordPress）存在存储型跨站脚本漏洞，该漏洞源于输入清理和输出转义不足。攻击者可通过 Insert/Update Post Action 中的 'choice' Post Meta，在所有版本直至并包括 3.6.5.4 的版本中利用此漏洞进行 Stored Cross-Site Scripting (XSS)。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。注入的有效载荷通过未经验证的 wp_ajax_nopriv_jet_form_builder_submit 端点提交，并通过 Insert/Update Post Action 以原始形式存储到 post meta 中；随后，在 get_from_db 选项生成器将原始元数据值复制到选项值属性和标签内容时，Select Field block template 会未经转义地渲染这些内容。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.