CVE-2026-18146 in Fluent Forms Plugin
Riassunto
di VulDB • 13/08/2026
Il plugin per WordPress "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder" è vulnerabile a Stored Cross-Site Scripting (XSS) tramite i valori dei Smartcode di notifica in tutte le versioni fino alla 6.2.11 inclusa, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape delle output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari che vengono eseguiti nel browser di un amministratore (o di qualsiasi utente con la capacità di visualizzare le voci del modulo Fluent Forms) quando visualizzano i log di invio delle voci del form nella dashboard di amministrazione di WordPress. Lo sfruttamento richiede che un amministratore del sito o un gestore di Fluent Forms abbia configurato una notifica email il cui oggetto o valore statico (diretto) "Send To" faccia riferimento a uno Smartcode influenzabile dall'attaccante, come il valore di un campo input_password, un valore dei cookie o submission.response.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.