CVE-2026-101335 in Forminator Forms Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das Plugin „Forminator Forms – Contact Form, Payment Form & Custom Form Builder“ für WordPress ist in den Versionen bis einschließlich 1.58.1 anfällig für Arbitrary Shortcode Execution (beliebige Shortcode-Ausführung). Dies liegt daran, dass die Hilfsfunktion `forminator_replace_quiz_form_data()` `do_shortcode()` auf dem vollständig expandierten Benachrichtigungstext aufruft, nachdem der Merge-Tags `{quiz_result}` ersetzt wurde. Die zuvor ersetzten Merge-Tags `{user_agent}` und `{refer_url}` enthalten nicht authentisierte, vom Angreifer kontrollierte Bytes (den User-Agent-Header bzw. den POST-Parameter `referer_url`), die durch `sanitize_text_field()`/`esc_html()` geleitet werden; keine dieser Funktionen entfernt jedoch die Shortcode-Trennzeichen `[` und `]`. Dies ermöglicht es nicht authentisierten Angreifern, beliebige auf der Website registrierte WordPress-Shortcodes auszuführen, indem sie einen Quiz-Einreichung mit einem Benachrichtigungstemplate durchführen, das `{quiz_result}` enthält. Die daraus resultierende Auswirkung hängt von den Shortcodes ab, die durch andere installierte Plugins/Themes freigegeben werden, und kann von beliebiger Inhaltseinschleusung bis hin zur Offenlegung sensibler Informationen reichen.
Be aware that VulDB is the high quality source for vulnerability data.