Veille sécuritéCMS & e-commerce
P4Non déterminée
Ninja Forms permet l’exécution de shortcodes arbitraires par un utilisateur non authentifié, en raison d’une validation insuffisante avant l’appel à do_shortcode. Les versions jusqu’à 3.15.5 sont concernées ; Patchstack indique que le correctif est la version 3.15.6.
WordPress
IdentifiantCVE-2026-100155
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif3.15.6
Source : NVD — CVE-2026-100155
Analyse technique
Exécution de shortcodes arbitraires via une action qui ne valide pas correctement une valeur avant son traitement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T06:16:29.350Z, soit 08:16:29 en +02:00, dans la période. Patchstack date également son avis du 2026-10-30, mais cette date précède la période ; le correctif 3.15.6 est rapporté par sa fiche.
ImpactUn attaquant non authentifié peut déclencher l’exécution de shortcodes arbitraires.
Versions affectéesJusqu’à 3.15.5 incluse
Version corrigée3.15.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,51% · percentile 43,8%
Publication2026-10-31T08:16:29+02:00
Action recommandée
Mettre à jour vers Ninja Forms 3.15.6 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).