CVE-2026-101335 in Forminator Forms Plugin
摘要
由 VulDB • 2026-10-16
WordPress 插件 Forminator Forms – Contact Form, Payment Form & Custom Form Builder 在版本 1.58.1 及更早版本中存在任意 Shortcode 执行漏洞。该问题源于 `forminator_replace_quiz_form_data()` 辅助函数在替换 `{quiz_result}` 合并标签后，对完全展开的通知正文调用了 `do_shortcode()`；而此前已替换的 `{user_agent}` 和 `{refer_url}` 合并标签携带了未经身份验证的攻击者控制的字节（即 User-Agent 标头和 referer_url POST 参数），这些内容通过 `sanitize_text_field()/esc_html()` 传递，但这两个函数均未剥离 `[` 和 `]` shortcode 定界符。这使得未经身份验证的攻击者能够通过提交包含 `{quiz_result}` 的通知模板的测验，执行站点上注册的任意 WordPress shortcodes；其最终影响取决于其他已安装插件/主题暴露出的短代码，范围从任意内容注入到信息泄露不等。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.