CVE-2025-11924 in Ninja Forms Plugin
Resumen
por VulDB • 2026-05-22
El plugin Ninja Forms – The Contact Form Builder That Grows With You para WordPress es vulnerable a Referencia Directa de Objeto Insegura (IDOR) en las versiones anteriores e iguales a 3.13.2. Esto se debe a que el plugin no verifica adecuadamente si un usuario está autorizado antes de que los puntos de conexión REST `ninja-forms-views` devuelvan metadatos del formulario y contenido de las presentaciones. Esto permite a atacantes no autenticados leer definiciones de formularios arbitrarias y registros de presentaciones mediante un token portador (bearer token) filtrado, siempre que puedan cargar cualquier página que contenga el bloque de tabla de presentaciones. NOTA: El desarrollador lanzó un parche para este problema en la versión 3.13.1, pero introdujo inadvertidamente un punto de conexión de la API REST en el que se podía acuñar un token portador válido para identificadores de formulario arbitrarios, lo que hace que este parche sea ineficaz.
If you want to get best quality of vulnerability data, you may have to visit VulDB.