WordPress · Wordpress · CVE-2025-13159
**Nome do Software Vulnerável e Versões Afetadas**
Plugin Flo Forms – Easy Drag & Drop Form Builder para WordPress, versões até e incluindo a 1.0.43
**Descrição**
O plugin Flo Forms para WordPress é vulnerável a Cross-Site Scripting Armazenado por meio de uploads de arquivos SVG. O plugin permite o upload de arquivos SVG por meio de um endpoint AJAX não autenticado, `flo form submit`, sem validação adequada do conteúdo do arquivo. Isso permite que atacantes não autenticados façam upload de arquivos SVG maliciosos contendo JavaScript. Quando um administrador visualiza o arquivo carregado dentro da interface de administração do WordPress, o JavaScript malicioso é executado, podendo levar ao comprometimento total do site.
**Recomendações**
Atualize o plugin Flo Forms – Easy Drag & Drop Form Builder para uma versão superior à 1.0.43.