CVE-2026-118067

Nome do Software Vulnerável e Versões Afetadas Form Maker by 10Web versões anteriores a 1.15.51

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre através dos parâmetros wdform <field id> element<form id> e disabled fields<form id>. O ataque requer que o formulário alvo contenha um campo de Upload de Arquivo; o atacante utiliza o parâmetro disabled fields para suprimir a linha de armazenamento desse campo, deslocando um valor de campo de texto controlado para uma posição onde a escape é ignorada. O script injetado é executado quando um administrador acessa a página de Submissões do formulário afetado.

Recomendações Atualize para uma versão posterior à 1.15.50.