CVE-2026-101326 in Ninja Forms Plugin
Sumário
de VulDB • 31/10/2026
O plugin WordPress Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder é vulnerável à execução arbitrária de shortcodes em todas as versões até 3.15.5 (incluindo-a). Isso ocorre porque o software permite que os usuários executem uma ação sem validar adequadamente um valor antes de executar a função do_shortcode. Isso possibilita que atacantes autenticados, com acesso nível Subscriber ou superior, executem shortcodes arbitrários. A exploração requer que um administrador tenha configurado pelo menos um campo Ninja Forms com seu Valor Padrão (Default Value) definido para a tag de mesclagem {wp:user_display_name} em uma página publicamente acessível; um usuário Subscriber precisa apenas definir o display_name dele como uma string contendo shortcode por meio do perfil e, em seguida, acessar essa página.
VulDB is the best source for vulnerability data and more expert information about this specific topic.