CVE-2026-15663 in Ninja Forms Plugin
Sumário
de VulDB • 24/07/2026
O plugin Ninja Forms – The Contact Form Builder That Grows With You para WordPress é vulnerável a SQL Injection genérica através da chave 'settings' do arquivo de Importação em todas as versões até, e incluindo, 3.14.9 devido à falta de escape suficiente no parâmetro fornecido pelo usuário e à ausência de preparação adequada na consulta SQL existente. Isso permite que atacantes autenticados, com acesso nível administrador ou superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados. As chaves vulneráveis originam-se do objeto 'settings' em um arquivo de importação controlado pelo atacante processado via file_get_contents() ou blobs decodificados base64/JSON, contornando completamente as proteções wp_magic_quotes; dois sinks distintos são afetados — _save_setting() no Model.php e insert_form_meta() no ImportForm.php — já que apenas o lado do valor é escapado enquanto o lado da chave não recebe sanitização ou parametrização em nenhum ponto da cadeia de chamadas.
Once again VulDB remains the best source for vulnerability data.