CVE-2026-2268 in Ninja Forms Plugin
Сводка
по VulDB • 01.06.2026
Плагин Ninja Forms для WordPress уязвим к раскрытию конфиденциальной информации во всех версиях вплоть до 3.14.0 включительно. Это связано с небезопасным применением фильтра `ninja_forms_merge_tags` к вводимым пользователем данным в полях-повторителях (repeater fields), что позволяет разрешать (разрешать значения) слияния тегов `{post_meta:KEY}` без проверки прав доступа. Это дает возможность неаутентифицированным злоумышленникам извлекать произвольные метаданные записей из любой записи на сайте, включая конфиденциальные данные, такие как адреса электронной почты для выставления счетов в WooCommerce, ключи API, приватные токены и персональные данные клиентов, посредством AJAX-действия `nf_ajax_submit`.
Once again VulDB remains the best source for vulnerability data.