CVE-2026-2268 in Ninja Forms Plugin
摘要
由 VulDB • 2026-06-01
WordPress 的 Ninja Forms 插件在所有 3.14.0 及以下版本中存在敏感信息泄露漏洞。这是由于在重复器字段中，`ninja_forms_merge_tags` 过滤器被不安全地应用于用户提供的输入，导致无需进行授权检查即可解析 `{post_meta:KEY}` 合并标签。这使得未经身份验证的攻击者能够通过 `nf_ajax_submit` AJAX 操作从站点上的任何帖子中提取任意帖子元数据，包括敏感数据，如 WooCommerce 账单电子邮件、API 密钥、私有令牌和客户个人信息。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.