CVE-2026-11363
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP przez deserializację niezaufanych danych we wszystkich wersjach do 3.14.6 włącznie. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć obiekt PHP. Brak znanej łańcucha POP w podatnym oprogramowaniu, ale jeśli inna wtyczka lub motyw zawiera łańcuch POP, atak może umożliwić usunięcie plików, kradzież danych lub wykonanie kodu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub innych szkodliwych działań, jeśli w systemie zainstalowana jest dodatkowa wtyczka lub motyw z łańcuchem POP.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień administratora, a także monitorowanie zainstalowanych wtyczek i motywów pod kątem łańcuchów POP.
Inne podatności w Ninja Forms
Zobacz wszystkie- CVE-2026-102385Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Ninja Forms w wersjach do 3.15.3 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-65049Krytyczne
Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.
- CVE-2026-65048Krytyczne
Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.
- CVE-2019-10869Wysokie
Wtyczka Ninja Forms dla WordPressa przed wersją 3.0.23 (gdy dodatek Uploads jest aktywowany) zawiera podatności na przechodzenie po ścieżkach i nieograniczone przesyłanie plików. Pozwala to atakującemu na dostęp do plików i wykonanie kodu poprzez parametry name i tmp_name w pliku includes/fields/upload.php.
- CVE-2026-100151Średnie
Wtyczka Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder dla WordPressa jest podatna na odbite DOM-based Cross-Site Scripting poprzez parametr URL 'querystring:<key>' we wszystkich wersjach do 3.15.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Obejście zabezpieczeń następuje, gdy atakujący dostarczy pasujący parametr URL 'field:<key>', co powoduje pełne rozwiązanie placeholdera {field:*} po stronie serwera i wymusza na kliencie odtworzenie zawartości pola z surowego ciągu zapytania.
- CVE-2026-109997Wysokie
Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.
- CVE-2026-101326Średnie
Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.
- CVE-2026-100155Średnie
Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.5 włącznie) jest podatna na wykonanie dowolnego shortcode. Wynika to z braku walidacji wartości przed wywołaniem do_shortcode, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów.
- CVE-2026-67187Wysokie
Wtyczka Ninja Forms dla WordPress przed 3.15.4 zawiera niekompletną walidację po stronie serwera, która pozwala nieuwierzytelnionym atakującym przesyłać dowolne wartości do pól Checkbox List, Multi-Select List, Image List, Country i State. Atakujący mogą przesyłać spreparowane ładunki formuł przez nieuwierzytelniony endpoint nf_ajax_submit, omijając escapowanie CSV stosowane tylko do pól Textbox i Textarea, co prowadzi do wstrzyknięcia CSV po pobraniu i otwarciu wyeksportowanego pliku zgłoszeń przez administratora.
- CVE-2026-90438Wysokie
Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.4 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez pole Paragraph Text (RTE) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy docelowe pole Paragraph Text ma włączoną opcję Rich Text Editor (RTE).
Oryginalny opis (angielski, źródło NVD)
The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.14.6 via deserialization of untrusted input . This makes it possible for authenticated attackers, with administrator-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present. The deserialization is triggered automatically during form import when WPN_Helper::build_nf_cache() invokes $action->get_settings() immediately after the crafted form is imported, requiring no further interaction beyond the import action itself.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS