CVE-2026-85235

Nome do Software Vulnerável e Versões Afetadas Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.57.3

Description A sanitização de entrada e a escape de saída insuficientes no campo Rich-Text Textarea permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando um atacante injeta scripts web arbitrários em um envio de formulário. O payload é executado quando um administrador visualiza a entrada armazenada na visualização Forminator Entries e interage com um link plantado, fazendo com que o manipulador de clique baseado em jQuery do núcleo do WordPress em .contextual-help-tabs a avalie o href decodificado como HTML dentro da sessão autenticada.

Recommendations Atualize o Forminator Forms – Contact Form, Payment Form & Custom Form Builder para a versão 1.57.3 ou posterior.