CVE-2026-18325

Nome do Software Vulnerável e Versões Afetadas Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.56.2

Description A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo e executados no navegador de usuários que visitam a página afetada. O problema ocorre porque a função sanitize array() em Forminator Core ignora a filtragem para chaves iniciadas com select-, e a função set field data() trata incorretamente um membro return enviado como uma flag interna confiável. Isso permite que um atacante forje e persista um registro de campo de upload contendo um valor file url arbitrário sem validação.

Recommendations Atualize para uma versão posterior à 1.56.1.