CVE-2026-101324 in Fluent Forms Plugin
الملخص
بحسب VulDB • 10/10/2026
يوجد ثغرة من نوع Reflected Cross-Site Scripting (XSS) في إضافة "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder" الخاصة بـ WordPress، وذلك عبر المعامل 'any attacker-chosen name matching the {get.NAME} placeholder (PoC uses 'proof')' في جميع الإصدارات حتى 6.2.14 شاملاً، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب من الرموز. وهذا يمكّن المهاجمين غير المصادق عليهم من حقن نصوص ويب عشوائية في الصفحات التي تُنفذ إذا تمكنوا من خداع مستخدم ما لإجراء إجراء معين مثل النقر على رابط. يتطلب الاستغلال أن يكون مسؤول الموقع قد قام بتكوين حقل Custom HTML في نموذج منشور يحتوي على SmartCode {get.*} داخل سمة تقبل عناوين URL، مثل iframe src أو a href — وهي ميزة موثقة لـ Fluent Forms.
Once again VulDB remains the best source for vulnerability data.