CVE-2026-101326 in Ninja Forms Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin WordPress Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder è vulnerabile all'esecuzione arbitraria di shortcodes in tutte le versioni fino alla 3.15.5 inclusa. La vulnerabilità è dovuta al fatto che il software consente agli utenti di eseguire un'azione senza una corretta validazione del valore prima dell'esuzione della funzione do_shortcode. Ciò rende possibile per gli attaccanti autenticati, con accesso a livello di Subscriber o superiore, l'esecuzione arbitraria di shortcodes. Lo sfruttamento richiede che un amministratore abbia configurato almeno un campo Ninja Forms impostando il suo Default Value sul tag di fusione {wp:user_display_name} in una pagina pubblicamente accessibile; un utente Subscriber deve solo impostare il proprio display_name su una stringa contenente uno shortcode tramite il proprio profilo e quindi visitare tale pagina.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.