Calculated Fields Form · plugin de formulários com cálculos
Um atacante pode mandar um link do seu site que, ao ser aberto, roda um código no navegador de quem clicou. Se for um administrador logado, o código pode agir no painel em nome dele.
Você mesmo
- Atualizar o Calculated Fields Form para a 5.5.2.9 ou mais recente.
- Evitar abrir, logado como administrador, links estranhos para páginas do seu próprio site.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que limite scripts inline.
- Ativar regras de XSS no WAF para as páginas com formulários do plugin.
Detalhes técnicos: O Calculated Fields Form antes da 5.5.2.9 tem uma falha de cross-site scripting baseada em DOM (CVE-2026-124253, CVSS 7.1, Patchstack). Um atacante sem login pode montar um link que, quando aberto pela vítima, executa scripts no navegador dela no contexto do site; se a vítima for administrador, isso pode ser usado para agir no painel em nome dela. Exige que a vítima clique no link. Não há exploração confirmada.
Dados técnicos
CVE-2026-124253 · CVSS 7,1 · Fonte: Patchstack (via OffSeq Threat Radar)