CVE-2026-88996
WPForms <= 2.0.2 - Cross-Site Scripting réfléchi via le paramètre POST 'page_title'
- Publié
- 25 sept. 2026
- Mise à jour
- 25 sept. 2026
- Attribution de CNA
- Wordfence
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NFaible · 30 prochains jours
- Percentile
- 32,8 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le plugin WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More pour WordPress est vulnérable à une Cross-Site Scripting réfléchie via le paramètre POST 'page_title' par le biais du Smart Tag {page_title} dans toutes les versions jusqu'à la 2.0.2 incluse, en raison d'une sanitisation des entrées et d'un échappement des sorties insuffisants. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécutent s'ils parviennent à convaincre un utilisateur d'effectuer une action telle que cliquer sur un lien. Cette vulnérabilité n'est exploitable que sur les formulaires dont le message de confirmation rédigé par l'administrateur place le Smart Tag {page_title} dans un contexte d'attribut HTML.
Sources
XSS réfléchi non authentifié dans WPForms <= 2.0.2.1 — contournement de l'échappement Smart Tag de CVE-2026-88996 en position de nom d'attribut
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.