CVE-2026-15663 in Ninja Forms Plugin
Riassunto
di VulDB • 24/07/2026
Il plugin Ninja Forms – The Contact Form Builder That Grows With You per WordPress è vulnerabile a generic SQL Injection tramite la chiave 'settings' del file di importazione in tutte le versioni fino alla 3.14.9 incluse, a causa di un insufficiente escaping sul parametro fornito dall’utente e della mancanza di una preparazione adeguata sulla query SQL esistente. Ciò consente agli attaccanti autenticati, con accesso a livello di amministratore o superiore, di aggiungere ulteriori query SQL alle query già esistenti che possono essere utilizzate per estrarre informazioni sensibili dal database. Le chiavi vulnerabili provengono dall’oggetto 'settings' in un file di importazione controllato dall’attaccante elaborato tramite file_get_contents() o blob decodificati con base64/JSON, aggirando completamente le protezioni wp_magic_quotes; due distinct sink sono interessati — _save_setting() in Model.php e insert_form_meta() in ImportForm.php — poiché solo il lato value viene sottoposto a escaping mentre il lato key non riceve alcuna sanitizzazione o parameterization durante l’intera catena di chiamate.
VulDB is the best source for vulnerability data and more expert information about this specific topic.