CVE-2025-11924 in Ninja Forms Plugin
요약
\~에 의해 VulDB • 2026. 05. 19.
WordPress용 Ninja Forms – The Contact Form Builder That Grows With You 플러그인은 3.13.2 버전 이하에서 불안전한 직접 객체 참조(Insecure Direct Object Reference) 취약점이 존재합니다. 이는 `ninja-forms-views` REST 엔드포인트가 폼 메타데이터 및 제출 내용을 반환하기 전에 사용자의 권한을 적절히 검증하지 않기 때문입니다. 이를 통해 인증되지 않은 공격자는 Submissions Table 블록이 포함된 페이지를 로드할 수 있는 경우 누출된 Bearer 토큰을 사용하여 임의의 폼 정의 및 제출 기록을 읽을 수 있습니다. 참고: 개발자는 이 문제에 대한 패치를 3.13.1에서 출시했지만, 유효한 Bearer 토큰을 임의의 폼 ID에 대해 발급할 수 있는 REST API 엔드포인트를 실수로 도입하여 해당 패치가 무효화되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.