CVE-2026-93303

Nome do Software Vulnerável e Versões Afetadas HT Contact Form – Drag & Drop Form Builder for WordPress versões anteriores a 2.10.2

Descrição A sanitização de entrada e a codificação de saída insuficientes no campo de texto rico form data permitem que atacantes não autenticados realizem Cross-Site Scripting (XSS) Baseado em DOM Armazenado. Isso ocorre durante o processo de Salvamento/Retomada de Rascunho, permitindo a injeção de scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página injetada. A exploração requer que o atacante engane um usuário para clicar em uma URL de retomada de rascunho fornecida pelo atacante, a qual é construída utilizando as variáveis draft key e access token retornadas diretamente na resposta de salvamento.

Recomendações Atualize para uma versão posterior à 2.10.1.