XSS (Cross-Site Scripting) dans WordPress (CVE-2026-18146)
Résumé
XSS dans WordPress (CVE-2026-18146). Risque d'opérations non autorisées ou de divulgation.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Notification Smartcode Values in all versions up to, and including, 6.2.11 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in the browser of an administrator (or any user with the Fluent Forms entry-viewing capability) when they view the form's entry Submission Logs in the WordPress admin dashboard. Exploitation requires that a site administrator or Fluent Forms manager has configured an email notification whose subject or static (direct) Send To value references an attacker-influenced Smartcode such as an input_password field value, a cookie value, or submission.response.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-18146 a été découverte dans wordpress.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-18146 » sur le site de l'éditeur.
CVE-2026-18146 (wordpress) — CWE-79 / CVSS v3 7.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Fluent Formsプラグインでの通知スマートコード値を通じた保存型クロスサイトスクリプティングの脆弱性です。
WordPressプラグインのFluent Forms、バージョン6.2.11以下。
管理者のブラウザで任意のスクリプトが実行可能となるため、非常に深刻です。
プラグインを最新バージョンにアップデートしてください。
エントリを表示する権限を持つユーザーのアクセスを制限するか、スマートコードとして覚えられるデータを最小化してください。
プラグインのバージョンを確認し、6.2.11以前であればアップデートを実施します。