CVE-2026-101335 in Forminator Forms Plugin
要約
〜によって VulDB • 2026年10月16日
WordPress用プラグイン「Forminator Forms – Contact Form, Payment Form & Custom Form Builder」には、バージョン1.58.1以前において、任意のショートコード実行（Arbitrary Shortcode Execution）の脆弱性が存在します。これは、{quiz_result}マージタグが置換された後、ヘルパー関数 forminator_replace_quiz_form_data() が完全に展開された通知本文に対して do_shortcode() を呼び出すために発生します。一方、先に置換済みの {user_agent} および {refer_url} マージタグは、sanitise_text_field()/esc_html() によってフィルタリングされますが、これらはショートコードの区切り文字である '[' と ']' を除去しないため、認証不要のアタッカー制御バイト（User-Agent ヘッダーおよび referer_url POST パラメータ）が保持されたままになります。この結果、通知テンプレートに {quiz_result} を含むクイズを送信することで、認証不要のアタッカーはサイト上に登録されている任意のWordPressショートコードを実行することが可能となります。これにより生じる影響は、他のインストール済みプラグインやテーマによって公開されているショートコードの内容に応じて異なり、任意のコンテンツ注入から情報漏洩まで多岐にわたります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.