CVE-2026-100155

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Ninja Forms w wersjach do 3.15.3 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.

Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.

Wtyczka Ninja Forms dla WordPressa przed wersją 3.0.23 (gdy dodatek Uploads jest aktywowany) zawiera podatności na przechodzenie po ścieżkach i nieograniczone przesyłanie plików. Pozwala to atakującemu na dostęp do plików i wykonanie kodu poprzez parametry name i tmp_name w pliku includes/fields/upload.php.

Wtyczka Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder dla WordPressa jest podatna na odbite DOM-based Cross-Site Scripting poprzez parametr URL 'querystring:<key>' we wszystkich wersjach do 3.15.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Obejście zabezpieczeń następuje, gdy atakujący dostarczy pasujący parametr URL 'field:<key>', co powoduje pełne rozwiązanie placeholdera {field:*} po stronie serwera i wymusza na kliencie odtworzenie zawartości pola z surowego ciągu zapytania.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.

Wtyczka Ninja Forms dla WordPress przed 3.15.4 zawiera niekompletną walidację po stronie serwera, która pozwala nieuwierzytelnionym atakującym przesyłać dowolne wartości do pól Checkbox List, Multi-Select List, Image List, Country i State. Atakujący mogą przesyłać spreparowane ładunki formuł przez nieuwierzytelniony endpoint nf_ajax_submit, omijając escapowanie CSV stosowane tylko do pól Textbox i Textarea, co prowadzi do wstrzyknięcia CSV po pobraniu i otwarciu wyeksportowanego pliku zgłoszeń przez administratora.

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.4 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez pole Paragraph Text (RTE) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy docelowe pole Paragraph Text ma włączoną opcję Rich Text Editor (RTE).

Wtyczka Ninja Forms w wersjach do 3.15.3 włącznie zawiera podatność Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt do strony.