CVE-2026-12557

ŚrednieCVSS 5.3

Opublikowano: 03/07/2026(UTC)Zaktualizowano: 06/07/2026(UTC)Przetłumaczono: 07/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Ninja Forms - File Uploads dla WordPressa do wersji 3.3.29 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Nieuwierzytelnieni atakujący mogą odczytać wszystkie wpisy dziennika debugowania przechowywane w tabeli wp_nf3_log lub trwale usunąć wszystkie wiersze z tej tabeli.

Ocena ryzyka

Ryzyko polega na możliwości wycieku wrażliwych danych z dziennika debugowania (np. ścieżek plików, błędów) oraz na trwałej utracie tych danych, co może utrudnić analizę incydentów i naruszyć integralność systemu.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Ninja Forms - File Uploads do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy rozważyć tymczasowe wyłączenie wtyczki.

Inne podatności w Ninja Forms - File Uploads

CVE-2026-13369Wysokie
Wtyczka Ninja Forms - File Uploads dla WordPressa do wersji 3.3.29 włącznie zawiera podatność na odczyt dowolnych plików. Funkcja attach_files() wykorzystuje nieprawidłowo walidowaną tablicę 'files' dostarczaną przez atakującego, co pozwala na ominięcie walidacji przesyłania, normalizacji ścieżki i tworzenia rekordów bazy danych. W rezultacie nieuwierzytelniony atakujący może odczytać dowolne pliki na serwerze.

Oryginalny opis (angielski, źródło NVD)

The Ninja Forms - File Uploads plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.3.29. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to read all plugin debug log entries stored in the wp_nf3_log table or permanently delete all rows from that table.