CVE-2026-67187
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms dla WordPress przed 3.15.4 zawiera niekompletną walidację po stronie serwera, która pozwala nieuwierzytelnionym atakującym przesyłać dowolne wartości do pól Checkbox List, Multi-Select List, Image List, Country i State. Atakujący mogą przesyłać spreparowane ładunki formuł przez nieuwierzytelniony endpoint nf_ajax_submit, omijając escapowanie CSV stosowane tylko do pól Textbox i Textarea, co prowadzi do wstrzyknięcia CSV po pobraniu i otwarciu wyeksportowanego pliku zgłoszeń przez administratora.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe formuły do eksportu zgłoszeń, co po otwarciu pliku przez administratora może doprowadzić do wykonania kodu lub wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę Ninja Forms do wersji 3.15.4 lub nowszej. Do czasu aktualizacji unikaj otwierania eksportów zgłoszeń w arkuszach kalkulacyjnych.
Inne podatności w Ninja Forms
Zobacz wszystkie- CVE-2026-102385Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Ninja Forms w wersjach do 3.15.3 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-65049Krytyczne
Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.
- CVE-2026-65048Krytyczne
Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.
- CVE-2019-10869Wysokie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.0.23 (gdy dodatek Uploads jest aktywowany) zawiera podatności na przechodzenie po ścieżkach i nieograniczone przesyłanie plików. Pozwala to atakującemu na dostęp do plików i wykonanie kodu poprzez parametry name i tmp_name w pliku includes/fields/upload.php.
- CVE-2026-100151Średnie
Wtyczka Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder dla WordPressa jest podatna na odbite DOM-based Cross-Site Scripting poprzez parametr URL 'querystring:<key>' we wszystkich wersjach do 3.15.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Obejście zabezpieczeń następuje, gdy atakujący dostarczy pasujący parametr URL 'field:<key>', co powoduje pełne rozwiązanie placeholdera {field:*} po stronie serwera i wymusza na kliencie odtworzenie zawartości pola z surowego ciągu zapytania.
- CVE-2026-109997Wysokie
Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.
- CVE-2026-101326Średnie
Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.
- CVE-2026-100155Średnie
Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.5 włącznie) jest podatna na wykonanie dowolnego shortcode. Wynika to z braku walidacji wartości przed wywołaniem do_shortcode, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów.
- CVE-2026-90438Wysokie
Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.4 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez pole Paragraph Text (RTE) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy docelowe pole Paragraph Text ma włączoną opcję Rich Text Editor (RTE).
- CVE-2026-95515Wysokie
Wtyczka Ninja Forms w wersjach do 3.15.3 włącznie zawiera podatność Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt do strony.
Oryginalny opis (angielski, źródło NVD)
Ninja Forms plugin for WordPress before 3.15.4 contains an incomplete server-side validation vulnerability that allows unauthenticated attackers to submit arbitrary values to Checkbox List, Multi-Select List, Image List, Country, and State fields because NF_Abstracts_List falls through to a validate() method that only checks required-field presence. Attackers can submit crafted formula payloads through the unauthenticated nf_ajax_submit endpoint that bypass CSV escaping applied only to Textbox and Textarea fields, resulting in CSV injection when an administrator downloads and opens the exported submissions file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS