CVE-2026-101335 in Forminator Forms Plugin
الملخص
بحسب VulDB • 16/10/2026
يوجد ثغرة في تنفيذ أوامر قصيرة (Shortcode) بشكل تعسفي في إضافة Forminator Forms – Contact Form, Payment Form & Custom Form Builder الخاصة بـ WordPress، في الإصدارات التي تصل إلى 1.58.1 وتشملها. ويعود ذلك إلى استدعاء الدالة المساعدة `forminator_replace_quiz_form_data()` للدالة `do_shortcode()` على جسم الإشعار بعد توسيعه بالكامل بمجرد استبدال وسم الدمج `{quiz_result}`، بينما تحمل أوسمة الدمج المستبدلة سابقاً مثل `{user_agent}` و`{refer_url}` بايتات خاضعة لسيطرة مهاجم غير مصرح له (رأس User-Agent ومعامل POST الخاص بـ referer_url) عبر دالتي `sanitize_text_field()` و`esc_html()`، ولا تقوم أي من هاتين الدالتين بإزالة محددات الأوامر القصيرة `[` و`]`. وهذا يمكّن المهاجمين غير المصرح لهم من تنفيذ أوامر قصيرة (shortcodes) خاصة بـ WordPress مسجلة على الموقع عن طريق إرسال اختبار يحتوي قالب إشعاره على `{quiz_result}`؛ وتعتمد النتيجة الناتجة على الأوامر القصيرة التي تعرضها الإضافات/القوالب المثبتة الأخرى، ويمكن أن تتراوح بين حقن محتوى تعسفي إلى كشف معلومات.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.