CVE-2026-90438

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Ninja Forms w wersjach do 3.15.3 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.

Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.

Wtyczka Ninja Forms dla WordPressa przed wersją 3.0.23 (gdy dodatek Uploads jest aktywowany) zawiera podatności na przechodzenie po ścieżkach i nieograniczone przesyłanie plików. Pozwala to atakującemu na dostęp do plików i wykonanie kodu poprzez parametry name i tmp_name w pliku includes/fields/upload.php.

Wtyczka Ninja Forms w wersjach do 3.15.3 włącznie zawiera podatność Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt do strony.

Ninja Forms 3.15.3 przechowuje anonimową wartość textarea (non-RTE) i renderuje ją bez bezpiecznego kodowania HTML w edytorze zgłoszeń legacy. Atakujący może wydostać się z textarea za pomocą przechowywanego skryptu. Gdy Administrator otworzy znany atakującemu bezpośredni URL zgłoszenia, skrypt uruchomi się w kontekście origin WordPressa admin.

Wtyczka Ninja Forms dla WordPress w wersji 3.15.3 nie escapuje wartości pól formularza przed wyświetleniem ich na ekranie edycji zgłoszenia w panelu administracyjnym. Nieuwierzytelniony użytkownik może przesłać przez publiczny formularz wartości, które następnie wykonają się w przeglądarce uprzywilejowanego użytkownika przeglądającego zgłoszenie.

Wtyczka Ninja Forms dla WordPress w wersji 3.15.3 nie zapobiega deserializacji wartości pól formularza przesyłanych przez użytkownika, gdy administrator eksportuje zgłoszenia do pliku CSV. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataku PHP Object Injection, który przy odpowiednim łańcuchu POP w innej wtyczce lub motywie może prowadzić do operacji na plikach lub zdalnego wykonania kodu.

Wtyczka Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP przez deserializację niezaufanych danych we wszystkich wersjach do 3.14.6 włącznie. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć obiekt PHP. Brak znanej łańcucha POP w podatnym oprogramowaniu, ale jeśli inna wtyczka lub motyw zawiera łańcuch POP, atak może umożliwić usunięcie plików, kradzież danych lub wykonanie kodu.

Wtyczka Ninja Forms – The Contact Form Builder That Grows With You dla WordPressa jest podatna na przechowywany atak XSS przez pomyłkę typu 'type' w elemencie potomnym Repeater przez niedopasowany klucz tablicy we wszystkich wersjach do 3.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Wykorzystanie wymaga aktywnego dodatku Ninja Forms File Uploads, ponieważ atak kieruje nieznajdujący się na białej liście wpis dziecka przez moduł obsługi File Uploads, aby zapisać dostarczony przez atakującego plik HTML zawierający dowolny JavaScript do dowolnego katalogu zapisywalnego przez serwer WWW, w tym do katalogu głównego witryny, skąd jest serwowany z własnego pochodzenia witryny.