CVE-2026-88996
WPForms <= 2.0.2 - Cross-Site Scripting Refletido via Parâmetro POST 'page_title'
- Publicado
- 25 de set. de 2026
- Atualizado
- 25 de set. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 4 de nov. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NBaixo · próximos 30 dias
- Percentil
- 32,8%
- Data do modelo
- 4 de nov. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More para WordPress é vulnerável a Cross-Site Scripting Refletido por meio do parâmetro POST 'page_title' via Smart Tag {page_title} em todas as versões até, e incluindo, a 2.0.2, devido à sanitização de entrada e ao escape de saída insuficientes. Isso possibilita que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados se conseguirem convencer um usuário a realizar uma ação, como clicar em um link. Isso só é explorável em formulários cuja mensagem de confirmação, criada pelo administrador, coloque a Smart Tag {page_title} dentro de um contexto de atributo HTML.
Fontes
XSS refletido não autenticado no WPForms <= 2.0.2.1 — contorno do escape de Smart Tag da CVE-2026-88996 na posição de nome de atributo
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.