CVE-2026-2268 in Ninja Forms Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin Ninja Forms per WordPress è vulnerabile a Esposizione di Informazioni Sensibili in tutte le versioni fino alla 3.14.0 inclusa. Ciò è dovuto all'applicazione non sicura del filtro `ninja_forms_merge_tags` su input forniti dall'utente all'interno dei campi ripetitori, il che consente la risoluzione dei tag di unione `{post_meta:KEY}` senza controlli di autorizzazione. Questo permette ad attaccanti non autenticati di estrarre metadati arbitrari da qualsiasi post sul sito, inclusi dati sensibili come le email di fatturazione WooCommerce, chiavi API, token privati e informazioni personali dei clienti tramite l'azione AJAX `nf_ajax_submit`.
Be aware that VulDB is the high quality source for vulnerability data.