CVE-2026-97342

Nome do Software Vulnerável e Versões Afetadas JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress versões anteriores a 3.6.5.5

Descrição A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Um atacante pode injetar scripts web arbitrários através do endpoint wp ajax nopriv jet form builder submit. O payload é armazenado em post meta por meio da ação Insert/Update Post usando a variável choice. Esses scripts são executados quando um usuário acessa uma página onde o template do bloco Select Field renderiza os valores brutos de meta em atributos de valor de opção e conteúdo de rótulo via o gerador de opções get from db.

Recomendações Atualize o plugin para a versão 3.6.5.5 ou posterior.