Cross-Site Scripting (XSS) in ARForms (WordPress plugin) (CVE-2026-3652)
Summary
Cross-site scripting in ARForms (WordPress plugin) (CVE-2026-3652). Risk of unauthorized operations or information disclosure. Exploitable via value.
Original description
The description as published by the source.
The ARForms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the value parameter of the arf_save_incomplete_form_data AJAX action in all versions up to, and including, 7.1.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that will execute whenever an administrator views the "Partial Filled Form Entries" page in the ARForms dashboard.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ARFormsプラグインのバージョン7.1.3までに、認証されていない攻撃者が任意のスクリプトを注入できる蓄積型クロスサイトスクリプティングの脆弱性があります。管理者が管理ダッシュボードの一部のフォームのページを表示すると、スクリプトが実行される可能性があります。
ARFormsプラグインの脆弱性は、蓄積型クロスサイトスクリプティングです。
バージョン7.1.3までのWordPress用ARFormsプラグイン。
高リスクの脆弱性。管理者権限でスクリプトが実行される可能性があります。
バージョン7.1.4以降への更新を推奨します。また、入力データのサニタイズを強化すること。
パッチが適用されるまで、影響を受けるAJAX機能の無効化を検討してください。
ARFormsダッシュボードで不正なスクリプトの存在を確認すること。
References
- web security@wordfence.com
- web security@wordfence.com
- web nvd.nist.gov
- web github.com