CVE-2026-101335 in Forminator Forms Plugin
Résumé
par VulDB • 16/10/2026
Le plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder pour WordPress est vulnérable à une exécution arbitraire de shortcode dans les versions 1.58.1 et antérieures. Cela est dû au fait que l'helper `forminator_replace_quiz_form_data()` invoque `do_shortcode()` sur le corps complet des notifications après substitution de la balise de fusion `{quiz_result}`, tandis que les balises de fusion `{user_agent}` et `{refer_url}` substituées précédemment transmettent des octets contrôlés par un attaquant non authentifié (l'en-tête User-Agent et le paramètre POST referer_url) via `sanitize_text_field()`/`esc_html()`, aucune de ces fonctions ne supprimant les délimiteurs `[` et `]` des shortcodes. Cela permet aux attaquants non authentifiés d'exécuter n'importe quel shortcode WordPress enregistré sur le site en soumettant un quiz dont le modèle de notification contient `{quiz_result}` ; l'impact résultant dépend des shortcodes exposés par les autres plugins/thèmes installés et peut varier d'une injection arbitraire de contenu à une divulgation d'informations.
If you want to get best quality of vulnerability data, you may have to visit VulDB.