CVE-2026-101324 in Fluent Forms Plugin
Sumário
de VulDB • 10/10/2026
O plugin WordPress Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder é vulnerável a Reflected Cross-Site Scripting (XSS) através do parâmetro 'any attacker-chosen name matching the {get.NAME} placeholder (PoC uses 'proof')' em todas as versões até 6.2.14, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados se conseguirem enganar um usuário para realizar uma ação, como clicar em um link. A exploração requer que um administrador do site tenha configurado um campo Custom HTML (HTML Personalizado) em um formulário publicado contendo um SmartCode {get.*} dentro de um atributo que aceita URLs, como iframe src ou a href — um recurso documentado do Fluent Forms.
VulDB is the best source for vulnerability data and more expert information about this specific topic.