SurveyJS: Drag & Drop Form Builder <= 2.5.3 - Cross-Site Scripting Armazenado Não Autenticado

A vulnerabilidade XSS no SurveyJS permite que atacantes injetem scripts maliciosos diretamente nos resultados das pesquisas. Um atacante pode criar uma pesquisa com um campo de texto ou área de texto, inserir um payload XSS (como <script>alert('XSS')</script>) e, ao visualizar os resultados da pesquisa como administrador, o script será executado no navegador do administrador. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, defacement do site ou até mesmo à execução de código arbitrário no servidor, dependendo das permissões do usuário administrador. A falta de sanitização adequada da entrada do usuário torna essa vulnerabilidade particularmente perigosa, pois qualquer usuário pode potencialmente explorar essa falha.

WordPress websites utilizing the SurveyJS Drag & Drop Form Builder plugin, particularly those with multiple administrators or those handling sensitive survey data, are at risk. Shared hosting environments where plugin updates are managed by the hosting provider may also be vulnerable if they have not applied the necessary patch.

• wordpress / composer / npm:

grep -r 'surveyResult.html' /var/www/html/wp-content/plugins/surveyjs

• generic web:

curl -I https://your-wordpress-site.com/survey/result?id=1 | grep Content-Type

• wordpress / composer / npm:

wp plugin list --status=active | grep surveyjs

1. 2026-03-20Disclosure

   disclosure

1. Reservado2026-02-12
2. Publicada2026-03-20
3. Modificada2026-04-15
4. EPSS atualizado2026-03-28

A mitigação primária para CVE-2026-2440 é atualizar o plugin SurveyJS Drag & Drop Form Builder para a versão corrigida, assim que estiver disponível. Enquanto isso, considere implementar medidas de proteção adicionais. Uma opção é desabilitar temporariamente a funcionalidade de submissão de resultados de pesquisas, se não for essencial. Outra medida é implementar regras de firewall de aplicação web (WAF) para bloquear payloads XSS conhecidos. Além disso, revise e reforce as políticas de validação de entrada em todos os campos de formulário do WordPress para evitar a injeção de scripts maliciosos.

Instalações ativas

500

Avaliação do plugin