CVE-2026-101335 in Forminator Forms Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
WordPress용 Forminator Forms – Contact Form, Payment Form & Custom Form Builder 플러그인은 1.58.1 버전 및 그 이전 버전에서 임의 Shortcode 실행 취약점이 존재합니다. 이는 {quiz_result} 병합 태그가 치환된 후 forminator_replace_quiz_form_data() 헬퍼 함수가 완전히 확장된 알림 본문에 대해 do_shortcode()를 호출하기 때문입니다. 이때 이전에 치환된 {user_agent} 및 {refer_url} 병합 태그는 sanitize_text_field()/esc_html()을 통해 전달되지만, 이 함수들은 Shortcode 구분자인 '['와 ']'를 제거하지 않으므로 인증되지 않은 공격자가 제어하는 바이트(User-Agent 헤더 및 referer_url POST 파라미터)가 그대로 유지됩니다. 이로 인해 인증되지 않은 공격자는 알림 템플릿에 {quiz_result}가 포함된 퀴즈를 제출하여 사이트에서 등록되어 있는 임의 WordPress Shortcode들을 실행할 수 있습니다. 결과적인 영향은 다른 설치된 플러그인/테마에서 노출되는 Shortcodes에 따라 달라지며, 임의 콘텐츠 주입부터 정보 유출까지 다양합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.