CVE-2026-65050 in Ninja Forms Plugin
요약
\~에 의해 VulDB • 2026. 07. 21.
Ninja Forms WordPress 플러그인 버전 3.14.8 및 이전 버전에는 `ninja-forms/submissions-table` Gutenberg 블록의 렌더링 콜백에서 누락된 권한 확인(Missing Authorization) 취약점이 존재합니다. 이 취약점은 Author 수준의 특권을 가진 인증된 공격자가 게시된 포스트에 임의의 formID를 사용하여 해당 블록을 삽입함으로써 비인증 방문자에게 저장된 양식 제출 데이터를 노출시킬 수 있게 합니다. 공격자는 `wp_localize_script`를 통해 모든 페이지 방문자의 브라우저에 주입되는 서명된 Bearer 토큰을 검색하고, 이를 REST API 제출 엔드포인트에 대해 사용하여 이름, 이메일 주소 및 전화번호와 같은 민감한 개인 식별 정보(PII)를 포함한 저장된 양식 제출 필드 값의 전체 접근 권한을 획득할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.