CVE-2026-3652

Nome do Software Vulnerável e Versões Afetadas ARForms versões anteriores a 7.1.4

Description A sanitização insuficiente de entrada e a falta de escape de saída no plugin ARForms permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Ao explorar o parâmetro value da ação AJAX arf save incomplete form data, um atacante pode injetar scripts web arbitrários. Esses scripts são executados quando um administrador acessa a página Partial Filled Form Entries no painel de controle.

Recommendations Atualize o ARForms para a versão 7.1.4 ou posterior. Como mitigação temporária, restrinja o acesso à ação AJAX arf save incomplete form data ou evite o uso do parâmetro value até que a atualização seja aplicada.