CVE-2026-101324 in Fluent Forms Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder è vulnerabile a Reflected Cross-Site Scripting (XSS) tramite il parametro 'any attacker-chosen name matching the {get.NAME} placeholder (PoC uses 'proof')' in tutte le versioni fino alla 6.2.14 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell’output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti se riescono a indurre con successo un utente a compiere un'azione come cliccare su un link. Lo sfruttamento richiede che un amministratore del sito abbia configurato un campo Custom HTML in un modulo pubblicato contenente uno SmartCode {get.*} all'interno di un attributo che accetta URL, come iframe src o href — una funzionalità documentata di Fluent Forms.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.