CVE-2026-101335 in Forminator Forms Plugin
Сводка
по VulDB • 16.10.2026
В плагине для WordPress Forminator Forms – Contact Form, Payment Form & Custom Form Builder уязвимость произвольного выполнения шорткодов (Arbitrary Shortcode Execution) присутствует в версиях вплоть до 1.58.1 включительно. Это обусловлено тем, что вспомогательная функция `forminator_replace_quiz_form_data()` вызывает `do_shortcode()` для полностью развернутого тела уведомления после замены merge-тега `{quiz_result}`, при этом ранее замененные merge-теги `{user_agent}` и `{refer_url}` передают неаутентифицированные байты, контролируемые злоумышленником (заголовок User-Agent и параметр POST referer_url), через функции `sanitize_text_field()`/`esc_html()`, ни одна из которых не удаляет разделители шорткодов `[` и `]`. Это позволяет неаутентифицированным злоумышленникам выполнять произвольные WordPress-шорткоды, зарегистрированные на сайте, путем отправки викторины, шаблон уведомления которой содержит `{quiz_result}`; возникающее воздействие зависит от шорткодов, предоставляемых другими установленными плагинами/темами, и может варьироваться от внедрения произвольного контента до раскрытия информации.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.