7.5 Élevée

CVE-2026-105413 Form Maker by 10Web < 1.15.51 - Unauthenticated Stored XSS via Submission Field Values

Description

The Form Maker by 10Web WordPress plugin before 1.15.51 does not consistently escape user-submitted field values before rendering them on its submissions admin page, allowing unauthenticated users to store a payload that executes as arbitrary web scripts in the session of an administrator who views the submissions.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Élevée
Privilèges requis: Aucun
Interaction: Requise
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Form Maker by 10Web 1.15	premières → < 1.15.51	1.15.51

Références

wpscan.com wpscan.com

Chronologie

Publiée 4 novembre 2026
Dernière modification 4 novembre 2026

Les 11 CVE de Form Maker by 10Web →

CVE-2026-16977 The Form Maker by 10Web WordPress plugin before 1.15.45 does not properly parameterize a user-controlled value that… 8.1 Élevée CVE-2025-15441 The Form Maker by 10Web WordPress plugin before 1.15.38 does not properly prepare SQL queries when the "MySQL… 6.8 Moyenne CVE-2024-13053 The Form Maker by 10Web WordPress plugin before 1.15.33 does not sanitise and escape some of its settings, which… 4.8 Moyenne CVE-2024-10680 The Form Maker by 10Web WordPress plugin before 1.15.32 does not sanitise and escape some of its settings, which… 4.8 Moyenne

Suivre cette CVE