CVE-2026-100155

Ninja Forms <= 3.15.5 - Unauthenticated Arbitrary Shortcode Execution via 'formData' Field Value via Success Message Merge Tag

CVSS 3.1Medium

6.5/ 10.0

Опубликовано

31 октября 2026 г.

Обновлено

31 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновление плагина Ninja Forms до версии 3.15.6 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Неаутентифицированное выполнение произвольных шорткодов в WordPress-плагине Ninja Forms версий до 3.15.5 включительно. Проблема позволяет вызывать функции шорткодов без авторизации.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Небезопасная обработка значений поля formData при формировании тегов подстановки (merge tags) в сообщениях об успешной отправке формы (success message), приводящая к парсингу переданных строк как шорткодов.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированное выполнение шорткодов WordPress, утечка конфиденциальных данных сайта, косвенное повышение привилегий и потенциальное RCE через уязвимые сторонние шорткоды.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/a1cf42f7-77c6-4594-a6a4-cebf5c3558d7?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ninja-forms/tags/3.15.4/includes/Actions/SuccessMessage.php#L63
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ninja-forms/tags/3.15.4/includes/Actions/SuccessMessage.php#L70
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ninja-forms/tags/3.15.4/includes/AJAX/Controllers/Submission.php#L52
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ninja-forms/tags/3.15.4/includes/Abstracts/MergeTags.php#L64
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ninja-forms/tags/3.15.4/includes/MergeTags/Fields.php#L268
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/ninja-forms/tags/3.15.4/includes/AJAX/Controllers/Submission.php#L60
wordpress.orghttps://wordpress.org/plugins/ninja-forms/
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset?reponame=&new=3749135%40ninja-forms%2Ftags%2F3.15.6&old=3717122%40ninja-forms%2Ftags%2F3.15.5

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-100155: Ninja Forms <= 3.15.5 - Unauthenticated Arbitrary Shortcode Execution via 'formData' Field Value via Success Message Merge Tag. URL: https://cve.futuretools.ru/cve/CVE-2026-100155

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_100155,
  title = {{CVE-2026-100155: Ninja Forms <= 3.15.5 - Unauthenticated Arbitrary Shortcode Execution via 'formData' Field Value via Success Message Merge Tag}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-100155}},
  note = {Оперативный инженерный анализ киберугроз}
}