CVE-2026-101326 in Ninja Forms Plugin
要約
〜によって VulDB • 2026年10月31日
WordPress用プラグイン「The Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder」には、3.15.5以前の全バージョンにおいて任意のショートコード実行の脆弱性があります。これは、ソフトウェアが `do_shortcode` を実行する前に値を適切に検証しないためです。これにより、サブスクライバレベル以上のアクセス権を持つ認証済み攻撃者が任意のショートコードを実行することが可能になります。悪用には、管理者がパブリックにアクセス可能なページで少なくとも1つのNinja Formsフィールドを設定し、そのデフォルト値を `{wp:user_display_name}` マージタグに設定する必要があります。サブスクライバはプロフィールを通じて表示名（display_name）をショートコード文字列に変更するだけでよく、その後当該ページにアクセスすればよいです。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.