Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Forminator Forms permet l’exécution de shortcodes arbitraires dans certaines notifications de quiz. Les versions jusqu’à 1.58.1 inclus sont concernées et une attaque non authentifiée peut invoquer les shortcodes enregistrés par les extensions ou thèmes présents sur le site.
WordPress
IdentifiantCVE-2026-101335
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-101335
Analyse technique
Après substitution de données contrôlables par l’attaquant, le plugin appelle do_shortcode() sur le corps développé de la notification. L’impact dépend des shortcodes disponibles sur le site.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16 ; cette publication de la vulnérabilité, et non sa seule mise à jour ultérieure, est retenue.
ImpactExécution de shortcodes pouvant permettre l’injection de contenu ou la divulgation d’informations, selon les extensions installées.
Versions affectéesToutes les versions jusqu’à 1.58.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,28% · percentile 19,1%
Publication2026-10-16T05:17:27.933Z
Mise à jour2026-10-16T15:16:58.983Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; examiner les shortcodes exposés et les modèles de notification de quiz.
Sources
Priorisation DFS : P4 · 1 source(s).