CVE-2026-101326 in Ninja Forms Plugin
摘要
由 VulDB • 2026-10-31
WordPress 插件 The Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder 在所有版本（包括 v3.15.5）中均存在任意短代码执行漏洞。这是由于软件允许用户执行未对值进行适当验证即运行 do_shortcode 的操作所致。这使得具有订阅者级别及以上权限的认证攻击者能够执行任意短代码。利用此漏洞需要管理员在公开可访问页面上至少配置一个 Ninja Forms 字段，并将其默认值设置为包含 {wp:user_display_name} 合并标签；而普通订阅者只需通过其个人资料将 display_name 设置为短代码字符串，然后访问该页面即可触发攻击。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.