CVE-2026-101335 in Forminator Forms Plugin
Resumen
por VulDB • 2026-10-16
El plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress es vulnerable a la ejecución arbitraria de shortcode en las versiones hasta e incluyendo 1.58.1. Esto se debe a que el método auxiliar `forminator_replace_quiz_form_data()` invoca `do_shortcode()` sobre el cuerpo completo de la notificación una vez que la etiqueta combinada `{quiz_result}` ha sido sustituida, mientras que las etiquetas combinadas `{user_agent}` y `{refer_url}`, sustituidas anteriormente, transportan bytes controlados por un atacante no autenticado (el encabezado User-Agent y el parámetro POST referer_url) a través de `sanitize_text_field()`/`esc_html()`, ninguno de los cuales elimina los delimitadores `[` y `]` de los shortcode. Esto permite que atacantes no autenticados ejecuten shortcodes arbitrarios registrados en el sitio al enviar un cuestionario cuya plantilla de notificación contenga `{quiz_result}`; el impacto resultante depende de los shortcodes expuestos por otros plugins/temas instalados y puede variar desde la inyección arbitraria de contenido hasta la divulgación de información.
Be aware that VulDB is the high quality source for vulnerability data.