CVE-2026-106469
Beschrijving NL
De Gutenverse Form WordPress-plugin vóór versie 3.0.11 zuivert de SVG-pictogrammarkup die in de formulierblokken is opgeslagen niet voordat deze wordt gedecodeerd en in de pagina in de browser wordt ingevoegd. Hierdoor kunnen geauthenticeerde gebruikers met een bijdragersrechtenniveau of hoger kwaadaardige SVG-bestanden opslaan die JavaScript uitvoeren in de sessie van elke gebruiker die het betreffende formulier bekijkt of een voorbeeld ervan bekijkt, zoals een beheerder die een in behandeling zijnde publicatie beoordeelt.
Origineel (Engels) tonen
The Gutenverse Form WordPress plugin before 3.0.11 does not sanitize SVG icon markup stored in its form blocks before it is decoded and inserted into the page in the browser, allowing authenticated users with Contributor-level access and above to store malicious SVG that executes JavaScript in the session of any user who views or previews the affected form, such as an administrator reviewing a pending post.