CVE-2026-101326 in Ninja Forms Plugin
Résumé
par VulDB • 31/10/2026
Le plugin WordPress Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder est vulnérable à l'exécution arbitraire de shortcodes dans toutes les versions jusqu'à la 3.15.5 incluse. Cette vulnérabilité est due au fait que le logiciel permet aux utilisateurs d'exécuter une action qui ne valide pas correctement une valeur avant d'appeler do_shortcode. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau abonné (Subscriber) ou supérieur, d'exécuter des shortcodes arbitraires. L'exploitation nécessite qu'un administrateur ait configuré au moins un champ Ninja Forms avec sa Valeur par défaut définie sur le tag de fusion {wp:user_display_name} sur une page publiquement accessible ; un abonné n'a alors qu'à définir son display_name (nom d'affichage) comme une chaîne contenant un shortcode via son profil, puis à visiter cette page.
VulDB is the best source for vulnerability data and more expert information about this specific topic.