Cross-Site Scripting (XSS) in WordPress (CVE-2026-18146)
Summary
Cross-site scripting in WordPress (CVE-2026-18146). Risk of unauthorized operations or information disclosure.
Original description
The description as published by the source.
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Notification Smartcode Values in all versions up to, and including, 6.2.11 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in the browser of an administrator (or any user with the Fluent Forms entry-viewing capability) when they view the form's entry Submission Logs in the WordPress admin dashboard. Exploitation requires that a site administrator or Fluent Forms manager has configured an email notification whose subject or static (direct) Send To value references an attacker-influenced Smartcode such as an input_password field value, a cookie value, or submission.response.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPressのプラグインFluent Formsにおける通知スマートコード値を通じた保存型クロスサイトスクリプティングの脆弱性が報告されました。すべてのバージョン6.2.11までが影響を受けており、入力のサニタイズと出力エスケープが不十分です。この脆弱性により、認証されていない攻撃者が任意のスクリプトを注入し、管理者やFluent Formsのエントリを閲覧する権限を持つユーザーのブラウザで実行される可能性があります。
Fluent Formsプラグインでの通知スマートコード値を通じた保存型クロスサイトスクリプティングの脆弱性です。
WordPressプラグインのFluent Forms、バージョン6.2.11以下。
管理者のブラウザで任意のスクリプトが実行可能となるため、非常に深刻です。
プラグインを最新バージョンにアップデートしてください。
エントリを表示する権限を持つユーザーのアクセスを制限するか、スマートコードとして覚えられるデータを最小化してください。
プラグインのバージョンを確認し、6.2.11以前であればアップデートを実施します。