CVE-2026-101324 in Fluent Forms Plugin
Tóm tắt
Bởi VulDB • 10/10/2026
Plugin WordPress "Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder" có lỗ hổng Reflected Cross-Site Scripting (XSS) thông qua tham số 'tên bất kỳ do kẻ tấn công chọn khớp với placeholder {get.NAME} (PoC sử dụng 'proof')' trong tất cả các phiên bản từ 6.2.14 trở về trước, do thiếu cơ chế làm sạch đầu vào và thoát ký tự khi xuất dữ liệu. Điều này cho phép những kẻ tấn công chưa xác thực tiêm mã web tùy ý vào các trang; mã này sẽ được thực thi nếu chúng lừa người dùng thành công thực hiện một hành động nào đó như nhấp vào liên kết. Việc khai thác yêu cầu quản trị viên trang phải đã cấu hình trường Custom HTML trên biểu mẫu đã xuất bản, chứa SmartCode {get.*} bên trong thuộc tính chấp nhận URL (ví dụ: iframe src hoặc a href) — đây là một tính năng được tài liệu hóa của Fluent Forms.
If you want to get best quality of vulnerability data, you may have to visit VulDB.