CVE-2023-4109
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.6.26 była podatna na lukę bezpieczeństwa typu HTML Injection.
Ocena ryzyka
Atakujący mógł wykorzystać tę podatność do wstrzyknięcia złośliwego kodu HTML, co może prowadzić do kradzieży danych lub przejęcia kontroli nad stroną.
Rekomendacja
Zaleca się aktualizację wtyczki Ninja Forms do najnowszej wersji, aby usunąć tę lukę bezpieczeństwa.
Inne podatności w Ninja Forms WordPress plugin
Zobacz wszystkie- CVE-2026-80437Średnie
Wtyczka Ninja Forms dla WordPressa od wersji 3.14.10 przed 3.15.2 nie zapobiega wykonywaniu shortcode'ów w wartościach pochodzących z żądań, gdy podstawia je do treści, które później przetwarza pod kątem shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie.
- CVE-2025-11924Wysokie
Wtyczka Ninja Forms – The Contact Form Builder That Grows With You dla WordPressa w wersjach do 3.13.2 włącznie jest podatna na niezabezpieczone odwołanie do obiektu (IDOR). Wtyczka nie weryfikuje należycie uprawnień użytkownika przed zwróceniem metadanych formularza i treści zgłoszeń przez punkty końcowe REST `ninja-forms-views`. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych definicji formularzy i rekordów zgłoszeń za pomocą wyciekłego tokenu bearer, pod warunkiem że mogą załadować stronę zawierającą blok Submissions Table. Uwaga: deweloper wydał poprawkę w 3.13.1, ale przypadkowo wprowadził punkt końcowy REST API, w którym można wygenerować ważny token bearer dla dowolnych identyfikatorów formularzy, co czyni tę poprawkę nieskuteczną.
Oryginalny opis (angielski, źródło NVD)
The Ninja Forms WordPress Ninja Forms Contact Form WordPress plugin before 3.6.26 was affected by a HTML Injection security vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS