CVE-2026-65051
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność we wtyczce Ninja Forms do WordPress w wersji 3.14.8 pozwala nieuwierzytelnionym atakującym na ominięcie walidacji formularza poprzez scalenie kontrolowanych przez atakującego metadanych pól przed walidacją. Atakujący może wysłać złośliwe żądanie AJAX, zmieniając typy pól, usuwając wymagane flagi i wyłączając CAPTCHA.
Ocena ryzyka
Ryzyko polega na możliwości wysyłania niezweryfikowanych danych przez formularze, co może prowadzić do nieautoryzowanych powiadomień e-mail i zapisu danych w bazie.
Rekomendacja
Zaleca się aktualizację wtyczki Ninja Forms do najnowszej wersji, która zawiera poprawkę.
Inne podatności w Ninja Forms
Zobacz wszystkie- CVE-2026-65049Krytyczne
Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.
- CVE-2026-65048Krytyczne
Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.
- CVE-2019-10869Wysokie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.0.23 (gdy dodatek Uploads jest aktywowany) zawiera podatności na przechodzenie po ścieżkach i nieograniczone przesyłanie plików. Pozwala to atakującemu na dostęp do plików i wykonanie kodu poprzez parametry name i tmp_name w pliku includes/fields/upload.php.
- CVE-2026-15256Średnie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.14.10 nie zapobiega przetwarzaniu danych z query-stringa, używanych do wstępnego wypełnienia domyślnej wartości pola formularza, jako shortcode. Pozwala to nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów zarejestrowanych na stronie, gdy tak skonfigurowany formularz jest osadzony na publicznej stronie.
- CVE-2026-15663Średnie
Wtyczka Ninja Forms dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez import plików. Autoryzowany atakujący z uprawnieniami administratora może dodać dodatkowe zapytania SQL do istniejących, aby wyodrębnić wrażliwe dane z bazy.
- CVE-2026-65052Wysokie
Wtyczka Ninja Forms do WordPressa w wersji 3.14.8 i wcześniejszych zawiera podatność na nieprawidłową walidację danych wejściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne wartości numeryczne do obliczeń formularzy i sum płatności, przesyłając wartości, które nie pasują do żadnej skonfigurowanej opcji w polach ListSelect lub ListRadio. Może to prowadzić do manipulacji kwotami płatności, w tym ustawienia ich na zero.
- CVE-2026-65050Średnie
Podatność w wtyczce Ninja Forms do WordPressa w wersji 3.14.8 i wcześniejszych. Brak autoryzacji w bloku Gutenberg 'ninja-forms/submissions-table' pozwala uwierzytelnionym atakującym z rolą Autora na ujawnienie przesłanych formularzy (w tym danych osobowych) nieuwierzytelnionym odwiedzającym.
- CVE-2026-1239Wysokie
Wtyczka Ninja Forms dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia autoryzacji w wywołaniu zwrotnym REST 'ninja-forms-views/token/refresh' we wszystkich wersjach do 3.14.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie przesłanych formularzy, które mogą zawierać wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
Ninja Forms WordPress plugin version 3.14.8 contains a client-side enforcement of server-side security vulnerability that allows unauthenticated attackers to bypass all form validation by merging attacker-controlled field metadata over server-loaded form definitions before validation runs. Attackers can craft a malicious AJAX submission overriding field types, removing required flags, and disabling CAPTCHA checks through the nopriv AJAX endpoint to trigger form actions such as email notifications and database storage with unverified, attacker-controlled content.