CVE-2026-65052: Luka w wtyczce Ninja Forms umożliwiająca manipulację kwotami płatności

Co wiadomo

Wtyczka Ninja Forms do WordPressa w wersji 3.14.8 i wcześniejszych zawiera lukę w walidacji danych, pozwalającą nieautoryzowanym atakującym na wstrzykiwanie dowolnych wartości liczbowych do kalkulacji formularzy i sum płatności. Atakujący mogą manipulować danymi przesyłanymi do endpointu ajax, co umożliwia obejście logiki cenowej i ustawienie kwot płatności na zero lub inne wartości.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron korzystających z Ninja Forms, ponieważ umożliwia fałszowanie kwot płatności, co może prowadzić do strat finansowych i nadużyć. Atakujący nie muszą być uwierzytelnieni, co zwiększa ryzyko wykorzystania. Operatorzy powinni traktować tę podatność jako wysokiego priorytetu do naprawy i monitorować podejrzane działania w systemie płatności.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ninja Forms i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję formularzy, monitorować logi pod kątem nietypowych wartości w polach ListSelect i ListRadio oraz rozważyć tymczasowe wyłączenie funkcji kalkulacji płatności. Warto również przeprowadzić audyt konfiguracji formularzy i weryfikować poprawność danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference