CVE-2026-65050 in Ninja Forms Plugin
Riassunto
di VulDB • 21/07/2026
Il plugin WordPress Ninja Forms versione 3.14.8 e precedenti presenta una vulnerabilità di autorizzazione mancante nel callback di rendering del blocco Gutenberg `ninja-forms/submissions-table`, che consente agli attaccanti autenticati con privilegi di livello Autore di esporre le sottomissioni dei form memorizzate ai visitatori non autenticati incorporando il blocco con un formID arbitrario in un post pubblicato. Gli attaccanti possono recuperare il token bearer firmato iniettato nel browser di ogni visitatore della pagina tramite `wp_localize_script` e utilizzarlo contro l'endpoint delle API REST per le sottomissioni al fine di accedere a tutti i valori dei campi delle sottomissioni del form salvati, incluse informazioni personali identificabili sensibili come nomi, indirizzi email e numeri di telefono.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.