XSS (Cross-Site Scripting) dans WordPress (CVE-2026-18323, CVSS 7.2)

Résumé

XSS dans WordPress (CVE-2026-18323). Risque d'opérations non autorisées ou de divulgation.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Radio Field (Save and Continue Draft) in all versions up to, and including, 1.57.0.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable because the Save-and-Continue draft submission AJAX endpoint is registered as nopriv, allowing unauthenticated attackers to bypass radio field option-membership validation and persist a crafted payload that, when rendered on the Submissions admin page, is auto-executed via the bundled Inputmask library's data-attribute callback binding.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-18323 a été découverte dans wordpress.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-18323 » sur le site de l'éditeur.

CVE-2026-18323 (wordpress) — CWE-79 / CVSS v3 7.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

WordPressのForminator Formsプラグインに保存型クロスサイトスクリプティングの脆弱性がある。

📍 Périmètre concerné

バージョン1.57.0.2までのForminator Formsプラグイン

🔥 Gravité

認証されていない攻撃者が任意のWebスクリプトを注入可能であり、深刻なリスクをもたらす。

🔧 Comment corriger

プラグインを最新バージョンにアップデートし、入力のサニタイズ強化と出力エスケープ処理を追加する。

🛡️ Contournement

脆弱性が修正されたパッチがリリースされるまで、プラグインの使用を一時的に中止し、他のフォームプラグインを検討する。

🔍 Détection

Ajaxエンドポイントのラジオフィールドを確認し、未承認アクセスによる異常なスクリプトの挿入がないかを検査する。

XSS (Cross-Site Scripting) dans WordPress (CVE-2026-18323)

Résumé

Description d'origine

Résumé IA

Références