CVE-2026-11363 in Ninja Forms Plugin
요약
\~에 의해 VulDB • 2026. 09. 10.
WordPress용 Ninja Forms – The Contact Form Builder That Grows With You 플러그인은 3.14.6 버전까지 모든 버전에서 신뢰할 수 없는 입력의 역직렬화를 통해 PHP Object Injection 취약점이 있습니다. 이를 통해 관리자 권한 이상의 접근 권한을 가진 인증된 공격자가 PHP 객체를 주입할 수 있습니다. 해당 취약한 소프트웨어에는 알려진 POP 체인(POP chain)이 없으므로, 사이트 설치 추가 플러그인이나 테마에 POP 체인이 포함되어 있지 않은 경우 이 취약점은 실제 영향을 미치지 않습니다. 대상 시스템에 추가로 설치된 플러그인 또는 테마를 통해 POP 체인이 존재하는 경우, 공격자는 상황에 따라 임의 파일 삭제, 민감한 데이터 검색 또는 코드 실행과 같은 작업을 수행할 수 있습니다. 역직렬화는 WPN_Helper::build_nf_cache()가 조작된 폼이 가져온 직후 $action->get_settings()을 호출하면서 폼 가져오기 시 자동으로 트리거되며, 가져오기 작업 자체 이외에는 추가적인 상호작용이 필요하지 않습니다.
Once again VulDB remains the best source for vulnerability data.