XSS (Cross-Site Scripting) dans WordPress (CVE-2026-18328, CVSS 7.2)

Résumé

XSS dans WordPress (CVE-2026-18328). Risque d'opérations non autorisées ou de divulgation.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to DOM-Based Reflected Cross-Site Scripting via the 'error_description' parameter in all versions up to, and including, 1.57.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerability is only triggerable on pages hosting a Forminator form configured to use the Stripe Checkout Sessions payment API, which became the default in 1.56.0.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-18328 a été découverte dans wordpress.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-18328 » sur le site de l'éditeur.

CVE-2026-18328 (wordpress) — CWE-79 / CVSS v3 7.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

WordPressのForminator FormsプラグインにおけるDOMベースの反射型クロスサイトスクリプティングの脆弱性。

📍 Périmètre concerné

バージョン1.57.0までのすべてのForminator Formsに存在。

🔥 Gravité

認証されていない攻撃者が任意のWebスクリプトを注入し実行可能なため、影響が大きい。

🔧 Comment corriger

入力消毒と出力エスケープを強化し、バージョン1.57.0.1以降にアップデート。

🛡️ Contournement

脆弱性が存在するバージョンの使用を中止し、セキュリティパッチが適用されたバージョンに更新する。

🔍 Détection

WordPressの管理パネルからプラグインのバージョンを確認し、影響を受けるバージョンを使用しているか確認する。

XSS (Cross-Site Scripting) dans WordPress (CVE-2026-18328)

Résumé

Description d'origine

Résumé IA

Références