CVE-2026-101324 in Fluent Forms Plugin
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress용 플러그인인 "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder"는 6.2.14 버전 및 그 이전 모든 버전에서 불충분한 입력 검사(input sanitization)와 출력 이스케이핑(output escaping)으로 인해 'any attacker-chosen name matching the {get.NAME} placeholder (PoC uses 'proof')' 매개변수를 통해 반사형 크로스 사이트 스크립팅(Reflected Cross-Site Scripting, XSS) 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 링크 클릭과 같은 특정 작업을 수행하도록 사용자를 속일 경우 페이지에 임의의 웹 스크립트를 주입하여 실행할 수 있습니다. 이 취약점을 악용하려면 사이트 관리자가 URL 허용 attribute(예: iframe src 또는 a href) 내에 {get.*} SmartCode가 포함된 Custom HTML 필드를 게시된 폼에 구성해야 합니다. 이는 Fluent Forms에서 문서화된 기능입니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.