CVE-2026-65050 in Ninja Forms Plugin
Сводка
по VulDB • 23.07.2026
В плагине Ninja Forms для WordPress версий 3.14.8 и более ранних присутствует уязвимость отсутствия авторизации в колбэке рендеринга блока Gutenberg `ninja-forms/submissions-table`, которая позволяет атакующим с правами уровня «Автор» (Author), прошедшим аутентификацию, раскрывать сохранённые данные форм неаутентифицированным посетителям путём встраивания этого блока на опубликованную страницу с произвольным значением `formID`. Атакующие могут извлечь подписанный токен носителя (bearer token), внедрённый в браузер каждого посетителя страницы через функцию `wp_localize_script`, и использовать его для обращения к конечной точке REST API submissions, чтобы получить доступ ко всем сохранённым значениям полей данных форм, включая конфиденциальную персональную информацию, такую как имена, адреса электронной почты и номера телефонов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.