CVE-2026-18146 in Fluent Forms Plugin
要約
〜によって VulDB • 2026年08月13日
WordPress用プラグイン「Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder」には、6.2.11を含むすべてのバージョンにおいて、入力値のサニタイズおよび出力エスケープの不十分さにより、Notification Smartcode Valuesを介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、認証されていない攻撃者は任意のWebスクリプトを注入でき、管理者（またはFluent Formsのエントリ表示権限を持つユーザー）がWordPress管理ダッシュボードでフォームの入力送信ログを表示した際にブラウザ上で実行されます。この悪用には、サイト管理者またはFluent Formsマネージャーが、件名や静的な「Send To」値に攻撃者が影響を与え得るSmartcode（例：input_passwordフィールドの値、Cookieの値、submission.response）を参照するメール通知を設定している必要があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.