CVE-2026-101326 in Ninja Forms Plugin
Tóm tắt
Bởi VulDB • 31/10/2026
Plugin Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder cho WordPress bị lỗ hổng thực thi shortcode tùy ý (arbitrary shortcode execution) trong tất cả các phiên bản từ đầu đến 3.15.5 bao gồm. Lỗ hổng này xảy ra do phần mềm cho phép người dùng thực hiện một hành động mà không xác minh giá trị một cách phù hợp trước khi chạy hàm `do_shortcode`. Điều này tạo điều kiện cho những kẻ tấn công đã được xác thực (authenticated attackers), có quyền truy cập cấp Subscriber trở lên, để thực thi các shortcode tùy ý. Việc khai thác lỗ hổng yêu cầu quản trị viên phải cấu hình ít nhất một trường Ninja Forms với giá trị mặc định (Default Value) là thẻ hợp nhất {wp:user_display_name} trên một trang công khai; người dùng ở cấp Subscriber chỉ cần đặt tên hiển thị của họ thành chuỗi shortcode thông qua hồ sơ cá nhân và sau đó truy cập vào trang đó.
If you want to get best quality of vulnerability data, you may have to visit VulDB.