Veille sécuritéCMS & e-commerce
P4Non déterminée
Ninja Forms exécute des shortcodes sans validation suffisante dans un scénario dépendant d’une configuration particulière du formulaire. L’exploitation décrite nécessite un champ dont la valeur par défaut utilise la balise de fusion {wp:user_display_name} sur une page publique ; aucun correctif n’est confirmé ici pour cette CVE précise.
WordPress
IdentifiantCVE-2026-101326
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-101326
Analyse technique
Un compte disposant au minimum du rôle Subscriber peut définir son nom affiché avec un shortcode, puis visiter la page publique configurée pour déclencher son traitement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T06:16:31.217Z, soit 08:16:31 en +02:00, dans la période. Son horodatage de mise à jour est postérieur à la borne et n’est pas utilisé.
ImpactExécution de shortcodes par un utilisateur authentifié de faible privilège, sous réserve de la configuration décrite.
Versions affectéesJusqu’à 3.15.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,37% · percentile 31,1%
Publication2026-10-31T08:16:31+02:00
Action recommandée
Mettre à jour Ninja Forms dès qu’un correctif couvrant cette CVE est confirmé ; en attendant, retirer la balise de fusion concernée des valeurs par défaut des champs publics.
Sources
Priorisation DFS : P4 · 1 source(s).