CVE-2026-101326 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WordPress-Plugin „Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder“ ist in allen Versionen bis einschließlich 3.15.5 anfällig für die Ausführung beliebiger Shortcodes (arbitrary shortcode execution). Dies liegt daran, dass die Software Benutzern ermöglicht, eine Aktion auszuführen, bei der ein Wert vor dem Aufruf von `do_shortcode` nicht ordnungsgemäß validiert wird. Dadurch ist es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Ebene und höher möglich, beliebige Shortcodes auszuführen. Die Ausnutzung (Exploitation) erfordert, dass ein Administrator mindestens ein Ninja Forms-Feld konfiguriert hat, bei dem der Standardwert („Default Value“) auf den Merge-Tags `{wp:user_display_name}` gesetzt ist; ein Subscriber muss lediglich seinen `display_name` über sein Profil in einen Shortcode-String ändern und dann diese Seite aufrufen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.