CVE-2026-101335 in Forminator Forms Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder per WordPress è vulnerabile ad Arbitrary Shortcode Execution nelle versioni fino alla 1.58.1 inclusa. Ciò è dovuto al helper `forminator_replace_quiz_form_data()` che invoca `do_shortcode()` sul corpo della notifica completamente espanso una volta sostituito il merge tag `{quiz_result}`, mentre i merge tag `{user_agent}` e `{refer_url}` precedentemente sostituiti trasmettono byte controllati da un attaccante non autenticato (l'intestazione User-Agent e il parametro POST referer_url) attraverso `sanitize_text_field()`/`esc_html()`, nessuno dei quali rimuove i delimitatori `[` e `]` degli shortcode. Ciò consente ad attaccanti non autenticati di eseguire arbitrary WordPress shortcodes registrati sul sito inviando un quiz il cui template di notifica contiene `{quiz_result}`; l'impatto risultante dipende dagli shortcode esposti da altri plugin/theme installati e può variare dall'iniezione arbitraria di contenuti alla disclosure delle informazioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.