PT-2026-32588 · 10Web · Form Maker

Naoya Takahashi · Publicado 2026-04-14 · Atualizado 2026-04-15 · CVE-2026-4388

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Form Maker by 10Web versões anteriores a 1.15.41

Description O Cross-Site Scripting Armazenado é possível através do campo Matrix (tipo de entrada Text Box) em envios de formulários. O problema decorre de uma sanitização de entrada insuficiente utilizando a função sanitize text field, que remove tags mas não remove aspas, combinada com a falta de escape de saída ao renderizar os dados de envio na visualização de Envios do administrador. Isso permite que atacantes não autenticados injetem JavaScript arbitrário que é executado no navegador de um administrador que visualize os detalhes do envio.

Recommendations Atualize para uma versão posterior a 1.15.40.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-4388

Produtos afetados

Form Maker

Referências · 9

• https://plugins.trac.wordpress.org/browser/form-maker/tags/1.15.37/admin/views/FormMakerSubmits.php#L166 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/197449f5-9304-49df-9261-a354145fc00e?source=cve · Nota
• https://twitter.com/CVEarity/status/2044291941828046879 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2043962549998125113 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/form-maker/tags/1.15.37/admin/views/FormMakerSubmits.php#L169 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-4388 · Nota de Segurança
• https://twitter.com/CVEnew/status/2043976139719225792 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/form-maker/tags/1.15.37/frontend/models/form_maker.php#L2352 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3501693%40form-maker%2Ftrunk&old=3492680%40form-maker%2Ftrunk&sfp_email=&sfph_mail= · Nota