CVE-2026-95529

Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (nazwa wybrana przez atakującego, pasująca do formularza url.<name>). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie pola Text Area z wartością 'url.<name>' i wyłączonym predefinedClick.

Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (dowolny parametr URL używany w równaniu formularza). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie publicznego formularza z dropdownem Select2, którego opcje są wypełniane przez równanie używające GETURLPARAMETER() i setChoices().