The field_display() method fails to properly sanitize the required field label before outputting it to the browser. The $required variable, populated by wpforms_get_field_required_label() is directly concatenated into the label output without sanitization creating a potential cross-site scripting vulnerability.
This vulnerability affects the following application versions:
- WPForms 1.4.6
- WPForms 1.4.7.1
- WPForms 1.4.7.2
- WPForms 1.4.8.1
- WPForms 1.4.9
- WPForms 1.5.0.1
- WPForms 1.5.0.3
- WPForms 1.5.0.4
- WPForms 1.5.1
- WPForms 1.5.1.1
- WPForms 1.5.1.3
- WPForms 1.5.2.1
- WPForms 1.5.2.2
- WPForms 1.5.2.3
- WPForms 1.5.3
- WPForms 1.5.3.1
- WPForms 1.5.4.1
- WPForms 1.5.4.2
- WPForms 1.5.5
- WPForms 1.5.5.1
- WPForms 1.5.6
- WPForms 1.5.6.2
- WPForms 1.5.7
- WPForms 1.5.8.2
- WPForms 1.5.9.1
- WPForms 1.5.9.4
- WPForms 1.5.9.5
- WPForms 1.6.0.1
- WPForms 1.6.0.2
- WPForms 1.6.1
- WPForms 1.6.2.2
- WPForms 1.6.2.3
- WPForms 1.6.3.1
- WPForms 1.6.4
- WPForms 1.6.4.1
- WPForms 1.6.5
- WPForms 1.6.6
- WPForms 1.6.7
- WPForms 1.6.7.1
- WPForms 1.6.7.2
- WPForms 1.6.7.3
- WPForms 1.6.8
- WPForms 1.6.8.1
- WPForms 1.6.9
- WPForms 1.7.0
- WPForms 1.7.1.1
- WPForms 1.7.1.2
- WPForms 1.7.2
- WPForms 1.7.2.1
- WPForms 1.7.3
- WPForms 1.7.4
- WPForms 1.7.4.1
- WPForms 1.7.4.2
- WPForms 1.7.5.1
- WPForms 1.7.5.2
- WPForms 1.7.5.3
- WPForms 1.7.5.5
- WPForms 1.7.6
- WPForms 1.7.7
- WPForms 1.7.7.1
- WPForms 1.7.7.2
- WPForms 1.7.8
- WPForms 1.7.9
- WPForms 1.7.9.1
- WPForms 1.8.0.1
- WPForms 1.8.0.2
- WPForms 1.8.1.1
- WPForms 1.8.1.2
- WPForms 1.8.1.3
- WPForms 1.8.2.1
- WPForms 1.8.2.2
- WPForms 1.8.2.3
- WPForms 1.8.3
- WPForms 1.8.3.1
- WPForms 1.8.4
- WPForms 1.8.4.1
- WPForms 1.8.5.2
- WPForms 1.8.5.3
- WPForms 1.8.5.4
- WPForms 1.8.6.2
- WPForms 1.8.6.3
- WPForms 1.8.6.4
- WPForms 1.8.7.2
- WPForms 1.8.8.2
- WPForms 1.8.8.3
- WPForms 1.8.9.1
- WPForms 1.8.9.2
- WPForms 1.8.9.4
- WPForms 1.8.9.5
- WPForms 1.8.9.6
- WPForms 1.9.0.1
- WPForms 1.9.0.2
- WPForms 1.9.0.3
- WPForms 1.9.0.4
- WPForms 1.9.1.1
- WPForms 1.9.1.2