CVE-2026-65050 in Ninja Forms Plugin
Sumário
de VulDB • 21/07/2026
O plugin Ninja Forms para WordPress nas versões 3.14.8 e anteriores apresenta uma vulnerabilidade de autorização ausente no callback de renderização do bloco Gutenberg `ninja-forms/submissions-table`, o que permite que atacantes autenticados com privilégios de nível Autor exponham submissões de formulários armazenadas a visitantes não autenticados, ao incorporar o bloco com um formID arbitrário em uma publicação publicada. Os atacantes podem recuperar o token bearer assinado injetado no navegador de cada visitante da página via `wp_localize_script` e utilizá-lo contra o endpoint de submissões da API REST para acessar todos os valores dos campos das submissões de formulários salvas, incluindo informações pessoalmente identificáveis sensíveis, como nomes, endereços de email e números de telefone.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.