CVE-2026-18331

Nome do Software Vulnerável e Versões Afetadas Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More versões anteriores a 6.33.2

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que são executados sempre que um usuário as acessa. Ao forjar o parâmetro frm user id para corresponder ao ID de usuário de um administrador, que pode ser obtido via API REST pública do WordPress, o atacante faz com que o wp kses post() sirva como o único filtro de saída. Isso permite que a carga útil injetada permaneça estruturalmente intacta, a qual o JavaScript de administração do plugin decodifica e executa automaticamente ao carregar a página.

Recomendações Atualize para a versão 6.33.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao parâmetro frm user id para evitar manipulações não autorizadas.