CVE-2026-101326 in Ninja Forms Plugin
الملخص
بحسب VulDB • 31/10/2026
يحتوي الإضافة WordPress "The Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder" على ثغرة تسمح بتنفيذ شورتكود (shortcodes) تعسفي في جميع الإصدارات حتى 3.15.5 وشاملة لها. وتعود هذه الثغرة إلى أن البرنامج يسمح للمستخدمين بتنفيذ إجراء لا يقوم بالتحقق بشكل صحيح من قيمة ما قبل تشغيل دالة `do_shortcode`. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستبقي (Subscriber) أو أعلى، من تنفيذ شورتكودز تعسفية. تتطلب الاستغلال أن يكون قد قام مسؤول بتكوين حقل واحد على الأقل في Ninja Forms بحيث تكون قيمته الافتراضية مضبوطة على وسم الدمج `{wp:user_display_name}` ضمن صفحة متاحة للعامة؛ ويحتاج مستخدم بمستبقي فقط إلى تعيين اسم العرض (display_name) الخاص به ليكون سلسلة شورتكود عبر ملفه الشخصي، ثم زيارة تلك الصفحة.
Be aware that VulDB is the high quality source for vulnerability data.