CVE-2026-18146 in Fluent Forms Plugin
Resumen
por VulDB • 2026-08-13
El plugin de WordPress "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder" es vulnerable a Stored Cross-Site Scripting (XSS) mediante valores de Smartcode en las notificaciones en todas las versiones hasta la 6.2.11 inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios que se ejecutan en el navegador de un administrador (o cualquier usuario con capacidad para ver las entradas de Fluent Forms) cuando visualizan los registros de envío de formularios desde el panel de administración de WordPress. La explotación requiere que un administrador del sitio o un gestor de Fluent Forms haya configurado una notificación por correo electrónico cuyo asunto o valor estático (directo) "Enviar a" haga referencia a un Smartcode influenciado por el atacante, como el valor de un campo input_password, un valor de cookie o submission.response.
Once again VulDB remains the best source for vulnerability data.