CVE-2026-100184

Nome do Software Vulnerável e Versões Afetadas Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More versões anteriores a 5.5.1.4

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes não autenticados realizem Reflected DOM-Based Cross-Site Scripting. Isso ocorre quando um formulário alvo possui um campo de Área de Texto configurado com um valor predefinido url.<name> e o predefinedClick desativado. Um atacante pode injetar scripts web arbitrários através do parâmetro x (attacker-chosen name matching the form's url.<name> predefined value), que são executados se um usuário for enganado ao clicar em um link malicioso.

Recomendações Atualize para a versão 5.5.1.4 ou posterior. Como mitigação temporária, evite usar o valor predefinido url.<name> em campos de Área de Texto até que a atualização seja aplicada.