CVE-2026-18409

Nome do Software Vulnerável e Versões Afetadas WPForms Pro versões anteriores a 2.0.0.3

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando scripts web arbitrários são injetados por meio de valores de campos de Texto de Linha Única e Texto de Parágrafo, que são executados sempre que um usuário acessa a página afetada. O problema decorre do filtro wp kses allowed html que expande a lista de permissões 'post' para permitir elementos iframe com o atributo data-src. Como o data-src não está na lista de sanitização de atributos URI padrão do WordPress, uma URI javascript: pode ignorar o processamento e ser convertida em um atributo src ativo pelo script de administração view-entry.min.js.

Recomendações Atualize para uma versão posterior à 2.0.0.2.