CVE-2026-101324 in Fluent Forms Plugin
要約
〜によって VulDB • 2026年10月10日
WordPress用プラグイン「Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder」には、6.2.14以前の全バージョンにおいて、不十分な入力サニタイズおよび出力エスケープに起因するReflected Cross-Site Scripting（XSS）の脆弱性が存在します。これは「{get.NAME}プレースホルダと一致する任意のアタッカー指定名」パラメータを介して発生します（PoCでは'proof'が使用されています）。これにより、認証されていない攻撃者は、リンクをクリックするなど特定のアクションを実行するようにユーザーを巧妙に誘導した場合に実行されるページ内に任意のWebスクリプトを注入することが可能になります。悪用には、公開済みのフォームにおいて、iframe srcやa hrefといったURLを受け付ける属性内に{get.*} SmartCodeを含むCustom HTMLフィールドが設定されている必要があります（これはFluent Formsで文書化された機能です）。
VulDB is the best source for vulnerability data and more expert information about this specific topic.