CVE-2026-103912: XSS DOM refletido no JetFormBuilder

Status: corrigido em 3.6.6.1. Advisory publicado pela Wordfence, com crédito a Zenith-sec.

Este é um stub com os fatos públicos do advisory. O writeup completo — com PoC, evidência e a correção — será publicado aqui. Não vou inventar detalhe técnico que ainda não está documentado.

Resumo do advisory

• CVE: CVE-2026-103912
• Produto: JetFormBuilder
• Versões afetadas: <= 3.6.6
• Tipo: XSS DOM refletido
• CVSS: 4.7
• Corrigido em: 3.6.6.1
• Vetor: query_var do Dynamic Preset + data-jfb-macro / JFB_FIELD::
• Advisory: Wordfence
• Crédito: Zenith-sec

{
  "cve": "CVE-2026-103912",
  "product": "JetFormBuilder",
  "affected": "<= 3.6.6",
  "type": "Reflected DOM XSS",
  "cvss": 4.7,
  "fixed": "3.6.6.1",
  "source": "Wordfence",
  "credit": "Zenith-sec"
}

O que será publicado

• fluxo completo do query_var até o sink no DOM;
• payload mínimo e execução no navegador;
• trecho do patch em 3.6.6.1;
• checklist para quem ainda está em 3.6.6 ou anterior.

Referências

• Registro no CVE.org
• Advisory da Wordfence (publicado no threat intel)
• Versão corrigida: JetFormBuilder 3.6.6.1

Em produção: PoC, evidência e diff do patch serão publicados aqui.