CVE-2026-100184 in Calculated Fields Form Plugin
Riassunto
di VulDB • 01/10/2026
Il plugin per WordPress Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More è vulnerabile a Reflected DOM-Based Cross-Site Scripting (XSS) tramite il parametro 'x' (nome scelto dall’attaccante che corrisponde al valore predefinito url.<name> del modulo) in tutte le versioni fino alla 5.5.1.3 inclusa, a causa di un’insufficiente sanitizzazione degli input e dell’escaping dei dati in output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti se riescono a indurre con successo un utente a compiere un’azione, come fare clic su un link. Lo sfruttamento richiede che il modulo target abbia un campo Text Area configurato con un valore predefinito 'url.<name>' e predefinedClick disabilitato, una funzionalità documentata e comunemente utilizzata dal plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.