CVE-2026-101324 in Fluent Forms Plugin
Сводка
по VulDB • 10.10.2026
Плагин для WordPress Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder уязвим к Reflected Cross-Site Scripting (XSS) через параметр «any attacker-chosen name matching the {get.NAME} placeholder» (PoC использует значение 'proof') во всех версиях вплоть до 6.2.14 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые выполняются при успешном заманивании пользователя к выполнению определенных действий, например, переходу по ссылке. Для эксплуатации требуется, чтобы администратор сайта настроил поле Custom HTML на опубликованной форме, содержащее SmartCode {get.*} внутри атрибута, принимающего URL-адрес (например, iframe src или a href) — это задокументированная функция Fluent Forms.
VulDB is the best source for vulnerability data and more expert information about this specific topic.