CVE-2026-100179 in Calculated Fields Form Plugin
Riassunto
di VulDB • 01/10/2026
Il plugin per WordPress Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More è vulnerabile a Reflected DOM-Based Cross-Site Scripting (XSS) tramite il parametro 'x (qualsiasi parametro URL consumato dall'equazione calcolata del modulo)' in tutte le versioni fino alla 5.5.1.3 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che vengono eseguiti se riescono a indurre con successo un utente a compiere un'azione come fare clic su un link. Lo sfruttamento richiede che il sito target abbia un modulo pubblico configurato con un menu a discesa Select2 le cui opzioni sono popolate tramite un'equazione calcolata che instrada un parametro URL attraverso GETURLPARAMETER() in setChoices({texts:[...]}); data tale configurazione, lo sfruttamento richiede solo un singolo link manipolato ad hoc.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.