CVE-2026-15663

WordPress üçün Ninja Forms – The Contact Form Builder That Grows With You plaqini 3.14.9 versiyası da daxil olmaqla bütün versiyalarda Import File 'settings' açarı vasitəsilə ümumi SQL inyeksiyasına həssasdır; bu, istifadəçi tərəfindən təqdim edilən parametrin kifayət qədər ekranlaşdırılmaması və mövcud SQL sorğusunun kifayət qədər hazırlanmaması səbəbindən baş verir. Bu, administrator səviyyəli girişə və daha yüksək imtiyazlara malik autentifikasiyadan keçmiş hücumçulara mövcud sorğulara əlavə SQL sorğuları qoşmağa imkan verir ki, bu da verilənlər bazasından həssas məlumatların çıxarılması üçün istifadə oluna bilər. Zəif açaralar file_get_contents() vasitəsilə emal edilən və ya base64-dekodlanmış/JSON-dekodlanmış bloblar vasitəsilə hücumçunun nəzarət etdiyi import faylındakı 'settings' obyektindən qaynaqlanır və wp_magic_quotes qorumalarını tamamilə yan keçir; iki fərqli sink təsirlənir — Model.php faylındakı _save_setting() və ImportForm.php faylındakı insert_form_meta() — çünki yalnız dəyər tərəfi ekranlaşdırılır, açar tərəfi isə çağırış zəncirinin heç bir nöqtəsində sanitizasiya və ya parametrləşdirmə almır.