CVE-2026-18146

Nome do Software Vulnerável e Versões Afetadas Fluent Forms versões anteriores a 6.2.12

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre por meio de Notification Smartcode Values, permitindo a execução de scripts web arbitrários no navegador de um administrador ou de qualquer usuário com capacidade de visualização de entradas ao acessar os Submission Logs no painel administrativo do WordPress. A exploração é possível se um administrador ou gerente tiver configurado uma notificação de e-mail onde o assunto ou o valor estático Send To faça referência a um Smartcode influenciado pelo atacante, como input password, cookie ou submission.response.

Recomendações Atualize para a versão 6.2.12 ou posterior.