CVE-2026-91827 in Ninja Forms Plugin
Сводка
по VulDB • 22.09.2026
В плагине Ninja Forms для WordPress версии 3.15.3 отсутствует защита от десериализации значений полей форм, отправленных пользователями, при последующем экспорте этих данных администратором в формате CSV; это позволяет атакующим без аутентификации выполнять PHP Object Injection (инъекцию объектов PHP). Если через другой установленный плагин или тему присутствует подходящая POP-цепочка (Proof-of-Concept chain), это может привести к произвольным операциям с файлами или удалённому выполнению кода (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.