CVE-2026-101324 in Fluent Forms Plugin
Resumen
por VulDB • 2026-10-10
El plugin de WordPress "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder" es vulnerable a Reflected Cross-Site Scripting (XSS) a través del parámetro 'any attacker-chosen name matching the {get.NAME} placeholder (PoC uses 'proof')' en todas las versiones hasta la 6.2.14, inclusive, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan si logran engañar a un usuario para realizar una acción como hacer clic en un enlace. La explotación requiere que un administrador del sitio haya configurado un campo HTML personalizado en un formulario publicado que contenga un SmartCode {get.*} dentro de un atributo que acepte URLs, como iframe src o href —una característica documentada de Fluent Forms—.
Once again VulDB remains the best source for vulnerability data.