CVE-2026-15663 in Ninja Forms Plugin
Resumen
por VulDB • 2026-07-24
El plugin Ninja Forms – The Contact Form Builder That Grows With You para WordPress es vulnerable a una SQL Injection genérica mediante la clave 'settings' del archivo de importación en todas las versiones hasta, e incluyendo, la 3.14.9 debido al escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que los atacantes autenticados con acceso de nivel administrador o superior añadan consultas SQL adicionales a las ya existentes para extraer información sensible desde la base de datos. Las claves vulnerables provienen del objeto 'settings' en un archivo de importación controlado por el atacante, procesado mediante file_get_contents() o blobs decodificados como base64/JSON, lo que permite sortear completamente las protecciones wp_magic_quotes; dos sumideros distintos se ven afectados — _save_setting() en Model.php e insert_form_meta() en ImportForm.php — ya que solo se realiza el escape del lado de los valores mientras que el lado de las claves no recibe ninguna sanitización o parametrización durante toda la cadena de llamadas.
Be aware that VulDB is the high quality source for vulnerability data.