2026-10-16 09:34:52 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

WordPress插件Forminator未认证短代码执行漏洞(poc已公开)CVE-2026-92229

YGnight
YGnight

night安全

2026年9月24日 08:00
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞描述

Forminator Forms 是一个WordPress的表单插件，联系表单、支付收款、测验和投票等，插件声明需要 WordPress 6.4 起。近期被爆出存在未授权任意段代码执行漏洞，漏洞产生的入口挂在 WordPress 的 admin-ajax.php 上，注册钩子时同时挂了 nopriv 分支，不检查有没有登录。

受影响区间是 1.57.2 及之前所有版本，1.57.3 修掉，发布时间 9 月 17 日。

站点得开着测验模块才踩到这条分支，只摆一个联系表单的不在命中范围内。


CVE 编号	CVE-2026-92229
漏洞类型	未认证任意短代码执行，CWE-94
影响组件	Forminator Forms 插件测验模块的 quizzes/front/front-action.php 结果渲染，以及 abstracts/abstract-class-front-action.php 的 POST 数据入口
受影响版本	1.57.2 及之前全部版本
修复版本	1.57.3，WordPress 插件仓库 changeset 3700724
请求入口	/wp-admin/admin-ajax.php，action 为 forminator\_submit\_form\_quizzes 与 forminator\_submit\_preview\_form\_quizzes
触发前提	站点启用了测验模块，攻击方能从页面解析出测验答案，或手工填入 answers 参数
危害面	以站点已注册短代码的执行结果为上限，取决于同装的插件与主题
CVSS	9.1，CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

二、漏洞原理

WordPress 的 AJAX 钩子留了两套。

WordPress 给 admin-ajax.php 的请求留了两套钩子，wp\ajax\ 走登录用户，wp\ajax\_nopriv\ 对所有人开放，Forminator 两个都挂上了。

表单提交那一段卡着 nonce 校验，看着像把外人挡在外面。

插件自己留了一个取 nonce 的接口，同样挂在 nopriv 上，任何人 POST 一次带 action 与 form\_id 的请求就能换到有效值。

// library/abstracts/abstract-class-front-action.php 1.57.2
139 add\_action( 'wp\_ajax\_forminator\_get\_nonce', array( $this, 'get\_nonce' ) );
140 add\_action( 'wp\_ajax\_nopriv\_forminator\_get\_nonce', array( $this, 'get\_nonce' ) );

1217 public function get\_nonce() {
1218 $form\_id = filter\_input( INPUT\_POST, 'form\_id', FILTER\_VALIDATE\_INT );
1219 wp\_send\_json\_success( wp\_create\_nonce( 'forminator\_submit\_form' . $form\_id ) );
1220 } // 返回的正是 54 行那次校验要用的值

拿到这个 nonce，再拼一个 action 为 forminator\_submit\_form\_quizzes 的 POST 请求就够了。

测验答案能从页面 HTML 里抠出来。预览接口同走一条路，action 换成 forminator\_submit\_preview\_form\_quizzes，还不用落库。

再看 current\_url 这条线。

所有 POST 字段进来只过一遍通用的递归清洗，current\_url 没有专属处理。

// library/abstracts/abstract-class-front-action.php 1.57.2
973 $post\_data = Forminator\_Core::sanitize\_array( $\_POST );

// library/modules/quizzes/front/front-action.php 1.57.2
60 if ( empty( self::$prepared\_data['current\_url'] ) ) {
61 self::$prepared\_data['current\_url'] = forminator\_get\_current\_url();
62 }

岔子出在测验结果的渲染。

社交分享那一段把 current\_url 塞进了 data-url 属性，外面套的是 WordPress 自带的 esc\_url。

// library/modules/quizzes/front/front-action.php 1.57.2
835 <ul class=\"forminator-social--icons\"
836 data-message=\"<?php echo esc\_textarea( $result\_message ); ?>\"
837 data-url=\"<?php echo esc\_url( self::$prepared\_data['current\_url'] ); ?>\">

869 $knowledge\_result\_html = ob\_get\_clean();
870 $knowledge\_result\_html = do\_shortcode( $knowledge\_result\_html );

esc\_url 管方括号，转的是主机名之后那一段。

本地按 WordPress 6.4 的 esc\_url 实现复算了一遍，位移一个字符就翻样。

// 本地复算，未在本站点 WordPress 上执行
https://target/[caption]x[/caption] -> https://target/%5Bcaption%5Dx%5B/caption%5D
https://target[caption]x[/caption] -> https://target[caption]x[/caption%5D
https://target[shortcode] -> https://target[shortcode]

载荷往前挪，落在 parse\_url 认作主机名的地方，方括号就整段留着。

真正要命的还在下面一行。

第 870 行把整段结果 HTML 丢进了 do\_shortcode。

这个函数按方括号标记的写法去找站点注册过的短代码，跑一遍回调，拿返回值替换原文。

分享属性里那点内容，就此从一段装饰用的地址变成了会执行的东西。

能跑到什么程度，看站点还装了哪些插件与主题。

1.57.3 改了两处。

// library/modules/quizzes/front/front-action.php 1.57.3
<?php echo wp\_kses\_post( wpautop( do\_shortcode( $text ), true ) ); ?>
// 870 行那次对整段缓冲的 do\_shortcode 整行删除

// library/abstracts/abstract-class-front-action.php 1.57.3
$post\_data = self::sanitize\_post\_current\_url( $post\_data );

protected static function sanitize\_post\_current\_url( $post\_data ) {
if ( empty( $post\_data['current\_url'] ) ) {
return $post\_data;
}
$current\_url = esc\_url\_raw( wp\_unslash( $post\_data['current\_url'] ) );
$current\_url = strip\_shortcodes( $current\_url );
$post\_data['current\_url'] = $current\_url;
return $post\_data;
}

短代码的执行范围从整段 HTML 缩到结论文字那一块。

current\_url 在进业务之前先做一次地址归一，再用 strip\_shortcodes 把短代码捞掉。

官方在注释里交代了为何没直接删方括号，查询串里的数组写法与 IPv6 字面地址都用得上。