CVE-2026-7052

Nome do Software Vulnerável e Versões Afetadas HT Contact Form – Drag & Drop Form Builder for WordPress versões anteriores a 2.8.3

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro file upload. A exploração é possível quando a configuração 'Store Submissions' está ativada, permitindo que valores não sanitizados sejam salvos no banco de dados e posteriormente renderizados usando dangerouslySetInnerHTML no visualizador de entradas do administrador, executando os scripts quando um usuário acessa a página afetada.

Recomendações Atualize para uma versão posterior a 2.8.2. Desative a configuração 'Store Submissions' como uma medida de mitigação temporária.