CVE-2025-11924 in Ninja Forms Plugin
要約
〜によって VulDB • 2026年05月16日
WordPress用プラグイン「Ninja Forms – The Contact Form Builder That Grows With You」には、バージョン3.13.2以前において、Insecure Direct Object Reference (IDOR) の脆弱性が存在します。これは、`ninja-forms-views` RESTエンドポイントがフォームのメタデータおよび送信コンテンツを返す前に、ユーザーの認可を適切に検証していないことに起因します。これにより、認証されていない攻撃者は、Submissions Tableブロックを含む任意のページを読み込むことができる場合、付与されたベアラートークンを利用して、任意のフォーム定義および送信レコードを読み取ることが可能になります。注意: 開発者はこの問題に対してバージョン3.13.1でパッチをリリースしましたが、誤って任意のフォームIDに対して有効なベアラートークンを発行できるREST APIエンドポイントを作成してしまい、このパッチは無効化されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.