CVE-2026-18146 in Fluent Forms Plugin
요약
\~에 의해 VulDB • 2026. 08. 13.
WordPress용 맞춤형 연락처 양식, 설문조사, 퀴즈 및 대화형 폼 빌더 플러그인인 Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder는 6.2.11 버전까지 모든 버전에서 불충분한 입력 정제(input sanitization)와 출력 이스케이핑(output escaping)으로 인해 Notification Smartcode Values를 통한 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이로 인해 인증되지 않은 공격자가 WordPress 관리자 대시보드에서 양식 제출 기록(entry Submission Logs)을 조회할 때 관리자의 브라우저(또는 Fluent Forms의 입력 항목 보기 권한이 있는 모든 사용자)에서 실행되는 임의 웹 스크립트를 주입할 수 있습니다. 이 취약점을 악용하려면 사이트 관리자나 Fluent Forms 관리자가 이메일 알림을 구성해야 하며, 해당 알림의 제목 또는 정적(Send To) 값이 공격자의 영향을 받은 Smartcode(예: input_password 필드 값, 쿠키 값, submission.response 등)를 참조하고 있어야 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.