CVE-2026-80437
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms dla WordPressa od wersji 3.14.10 przed 3.15.2 nie zapobiega wykonywaniu shortcode'ów w wartościach pochodzących z żądań, gdy podstawia je do treści, które później przetwarza pod kątem shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie.
Ocena ryzyka
Atakujący może wykonać dowolne shortcode'y, co może prowadzić do ujawnienia danych lub wykonania nieautoryzowanych działań w kontekście witryny.
Rekomendacja
Należy zaktualizować wtyczkę Ninja Forms do wersji 3.15.2 lub nowszej.
Inne podatności w Ninja Forms WordPress plugin
Zobacz wszystkie- CVE-2025-11924Wysokie
Wtyczka Ninja Forms – The Contact Form Builder That Grows With You dla WordPressa w wersjach do 3.13.2 włącznie jest podatna na niezabezpieczone odwołanie do obiektu (IDOR). Wtyczka nie weryfikuje należycie uprawnień użytkownika przed zwróceniem metadanych formularza i treści zgłoszeń przez punkty końcowe REST `ninja-forms-views`. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych definicji formularzy i rekordów zgłoszeń za pomocą wyciekłego tokenu bearer, pod warunkiem że mogą załadować stronę zawierającą blok Submissions Table. Uwaga: deweloper wydał poprawkę w 3.13.1, ale przypadkowo wprowadził punkt końcowy REST API, w którym można wygenerować ważny token bearer dla dowolnych identyfikatorów formularzy, co czyni tę poprawkę nieskuteczną.
- CVE-2023-4109Średnie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.6.26 była podatna na lukę bezpieczeństwa typu HTML Injection.
Oryginalny opis (angielski, źródło NVD)
The Ninja Forms WordPress plugin from 3.14.10 before 3.15.2 does not prevent shortcodes in request-derived values from being executed when it substitutes them into content it later processes for shortcodes, allowing unauthenticated users to run any shortcode registered on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS