The Forminator Forms – Contact Form, Payment Form & Custom F…(CVE-2026-18323・CVSS 7.2)

概要

The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Radio Field (Save and Continue Draft) in all versions up to, and including, 1.57.0.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable because the Save-and-Continue draft submission AJAX endpoint is registered as nopriv, allowing unauthenticated attackers to bypass radio field option-membership validation and persist a crafted payload that, when rendered on the Submissions admin page, is auto-executed via the bundled Inputmask library's data-attribute callback binding.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

WordPressのForminator Formsプラグインは、バージョン1.57.0.2までの全バージョンで、ラジオフィールドを介した保存されたクロスサイトスクリプティング（Stored XSS）の脆弱性があります。これにより、認証されていない攻撃者が任意のスクリプトを注入し、ユーザーが注入されたページにアクセスした際にスクリプトが実行されます。この脆弱性は、入力のサニタイズ不足と出力のエスケープ不足に起因しています。

❓ 何が問題か

WordPressのForminator Formsプラグインに保存型クロスサイトスクリプティングの脆弱性がある。

📍 影響範囲

バージョン1.57.0.2までのForminator Formsプラグイン

🔥 重要度

認証されていない攻撃者が任意のWebスクリプトを注入可能であり、深刻なリスクをもたらす。

🔧 修正方法

プラグインを最新バージョンにアップデートし、入力のサニタイズ強化と出力エスケープ処理を追加する。

🛡️ 暫定回避

脆弱性が修正されたパッチがリリースされるまで、プラグインの使用を一時的に中止し、他のフォームプラグインを検討する。

🔍 検知方法

Ajaxエンドポイントのラジオフィールドを確認し、未承認アクセスによる異常なスクリプトの挿入がないかを検査する。