CVE-2026-15663 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 24.07.2026
Das WordPress-Plugin „Ninja Forms – The Contact Form Builder That Grows With You“ ist in allen Versionen bis einschließlich 3.14.9 anfällig für eine generische SQL-Injection über den Schlüssel ‚settings‘ der Importdatei, aufgrund unzureichender Escaping-Maßnahmen beim benutzerspezifischen Parameter und mangelnder Vorbereitung des bestehenden SQL-Abfragestrings. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höherwertigen Berechtigungen, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Die anfälligen Schlüssel stammen aus dem ‚settings‘-Objekt in einer vom Angreifer kontrollierten Importdatei, die über file_get_contents() oder base64-decodierte/JSON-decodierte Blobs verarbeitet wird und dabei den wp_magic_quotes-Schutz vollständig umgeht; zwei verschiedene Sinks sind betroffen – _save_setting() in Model.php und insert_form_meta() in ImportForm.php –, da nur der Wertebereich escaped, während der Schlüsselbereich im gesamten Aufrufstack keiner Sanitisierung oder Parametrisierung unterzogen wird.
Be aware that VulDB is the high quality source for vulnerability data.