CVE-2026-120512

Nome do Software Vulnerável e Versões Afetadas The Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder versões anteriores a 1.15.51

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários que são executados quando um usuário acessa uma página afetada. A exploração ocorre quando um administrador abre a tela de Submissões e clica no link Show-on-Map de uma entrada maliciosa, fazendo com que o valor de field id seja ecoado sem escape em uma string JavaScript dentro do popup FormMakerEditCountryinPopup. Este processo ignora verificações de segurança usando a sessão do administrador e o fm ajax nonce incorporado ao link. O problema envolve o parâmetro wdform <n> element<id> usado em campos de entrada ocultos.

Recomendações Atualize o plugin para uma versão posterior à 1.15.50.