CVE-2026-11363
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP przez deserializację niezaufanych danych we wszystkich wersjach do 3.14.6 włącznie. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć obiekt PHP. Brak znanej łańcucha POP w podatnym oprogramowaniu, ale jeśli inna wtyczka lub motyw zawiera łańcuch POP, atak może umożliwić usunięcie plików, kradzież danych lub wykonanie kodu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub innych szkodliwych działań, jeśli w systemie zainstalowana jest dodatkowa wtyczka lub motyw z łańcuchem POP.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień administratora, a także monitorowanie zainstalowanych wtyczek i motywów pod kątem łańcuchów POP.
Inne podatności w Ninja Forms
Zobacz wszystkie- CVE-2026-65049Krytyczne
Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.
- CVE-2026-65048Krytyczne
Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.
- CVE-2019-10869Wysokie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.0.23 (gdy dodatek Uploads jest aktywowany) zawiera podatności na przechodzenie po ścieżkach i nieograniczone przesyłanie plików. Pozwala to atakującemu na dostęp do plików i wykonanie kodu poprzez parametry name i tmp_name w pliku includes/fields/upload.php.
- CVE-2026-19769Wysokie
Wtyczka Ninja Forms – The Contact Form Builder That Grows With You dla WordPressa jest podatna na przechowywany atak XSS przez pomyłkę typu 'type' w elemencie potomnym Repeater przez niedopasowany klucz tablicy we wszystkich wersjach do 3.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Wykorzystanie wymaga aktywnego dodatku Ninja Forms File Uploads, ponieważ atak kieruje nieznajdujący się na białej liście wpis dziecka przez moduł obsługi File Uploads, aby zapisać dostarczony przez atakującego plik HTML zawierający dowolny JavaScript do dowolnego katalogu zapisywalnego przez serwer WWW, w tym do katalogu głównego witryny, skąd jest serwowany z własnego pochodzenia witryny.
- CVE-2026-80438Średnie
Wtyczka Ninja Forms do WordPressa przed wersją 3.15.2 nie ogranicza swoich możliwości REST do administratorów, traktując specyficzną dla wtyczki możliwość jako równoważną pełnej administracji stroną. Pozwala to użytkownikowi z tą możliwością na odczyt ustawień i zapisanych zgłoszeń, nadpisanie konfiguracji oraz tworzenie i modyfikację dowolnych wpisów i stron.
- CVE-2026-15256Średnie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.14.10 nie zapobiega przetwarzaniu danych z query-stringa, używanych do wstępnego wypełnienia domyślnej wartości pola formularza, jako shortcode. Pozwala to nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów zarejestrowanych na stronie, gdy tak skonfigurowany formularz jest osadzony na publicznej stronie.
- CVE-2026-15663Średnie
Wtyczka Ninja Forms dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez import plików. Autoryzowany atakujący z uprawnieniami administratora może dodać dodatkowe zapytania SQL do istniejących, aby wyodrębnić wrażliwe dane z bazy.
- CVE-2026-65052Wysokie
Wtyczka Ninja Forms do WordPressa w wersji 3.14.8 i wcześniejszych zawiera podatność na nieprawidłową walidację danych wejściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne wartości numeryczne do obliczeń formularzy i sum płatności, przesyłając wartości, które nie pasują do żadnej skonfigurowanej opcji w polach ListSelect lub ListRadio. Może to prowadzić do manipulacji kwotami płatności, w tym ustawienia ich na zero.
- CVE-2026-65051Średnie
Podatność we wtyczce Ninja Forms do WordPress w wersji 3.14.8 pozwala nieuwierzytelnionym atakującym na ominięcie walidacji formularza poprzez scalenie kontrolowanych przez atakującego metadanych pól przed walidacją. Atakujący może wysłać złośliwe żądanie AJAX, zmieniając typy pól, usuwając wymagane flagi i wyłączając CAPTCHA.
- CVE-2026-65050Średnie
Podatność w wtyczce Ninja Forms do WordPressa w wersji 3.14.8 i wcześniejszych. Brak autoryzacji w bloku Gutenberg 'ninja-forms/submissions-table' pozwala uwierzytelnionym atakującym z rolą Autora na ujawnienie przesłanych formularzy (w tym danych osobowych) nieuwierzytelnionym odwiedzającym.
Oryginalny opis (angielski, źródło NVD)
The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.14.6 via deserialization of untrusted input . This makes it possible for authenticated attackers, with administrator-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present. The deserialization is triggered automatically during form import when WPN_Helper::build_nf_cache() invokes $action->get_settings() immediately after the crafted form is imported, requiring no further interaction beyond the import action itself.