CVE-2026-65050 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 21.07.2026
Das WordPress-Plugin Ninja Forms in der Version 3.14.8 und früheren Versionen enthält eine Schwachstelle aufgrund fehlender Autorisierung im Render-Callback des Gutenberg-Blocks `ninja-forms/submissions-table`. Diese ermöglicht es authentifizierten Angreifern mit Author-Rechten, gespeicherte Formularübermittlungen für nicht authentifizierte Besucher offenzulegen, indem sie den Block mit einer beliebigen formID in einen veröffentlichten Beitrag einbetten. Angreifer können das signierte Bearer-Token abrufen, das jedem Browserbesucher jeder Seite über `wp_localize_script` injiziert wird, und dieses gegen den REST-API-Endpunkt für Übermittlungen verwenden, um auf alle gespeicherten Feldwerte der Formularübermittlung zuzugreifen, einschließlich sensibler personenbezogener Daten wie Namen, E-Mail-Adressen und Telefonnummern.
If you want to get best quality of vulnerability data, you may have to visit VulDB.