XSS (Cross-Site Scripting) dans ARForms (WordPress plugin) (CVE-2026-3652)
Résumé
XSS dans ARForms (WordPress plugin) (CVE-2026-3652). Risque d'opérations non autorisées ou de divulgation. Exploitable via value.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The ARForms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the value parameter of the arf_save_incomplete_form_data AJAX action in all versions up to, and including, 7.1.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that will execute whenever an administrator views the "Partial Filled Form Entries" page in the ARForms dashboard.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-3652 a été découverte dans wordpress.
Des attaquants peuvent cibler un point d'entrée spécifique comme value à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-3652 » sur le site de l'éditeur.
CVE-2026-3652 (wordpress) — CWE-79 / CVSS v3 7.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : value / arf_save_incomplete_form_data
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
ARFormsプラグインの脆弱性は、蓄積型クロスサイトスクリプティングです。
バージョン7.1.3までのWordPress用ARFormsプラグイン。
高リスクの脆弱性。管理者権限でスクリプトが実行される可能性があります。
バージョン7.1.4以降への更新を推奨します。また、入力データのサニタイズを強化すること。
パッチが適用されるまで、影響を受けるAJAX機能の無効化を検討してください。
ARFormsダッシュボードで不正なスクリプトの存在を確認すること。
Références
- web security@wordfence.com
- web security@wordfence.com
- web nvd.nist.gov
- web github.com