Veille sécuritéCMS & e-commerce
P4Moyenne
Ninja Forms ne valide pas suffisamment côté serveur certaines valeurs soumises dans des champs de type cases à cocher, listes à choix multiples, listes d’images, pays et état. Un attaquant non authentifié peut soumettre des valeurs de formule par le point de terminaison nf_ajax_submit ; l’injection peut se déclencher lorsqu’un administrateur ouvre un export CSV des soumissions.
WordPress
IdentifiantCVE-2026-67187
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.15.4
Source : NVD — CVE-2026-67187
Analyse technique
L’échappement CSV décrit pour les champs Textbox et Textarea n’est pas appliqué aux types de champs concernés.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28, dans la période demandée. La mise à jour affichée au 2026-10-29 est postérieure à la période.
ImpactInjection CSV susceptible d’affecter l’administrateur qui ouvre l’export des soumissions.
Versions affectéesVersions antérieures à 3.15.4
Version corrigée3.15.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-28T16:17:08.767Z
Action recommandée
Mettre à jour Ninja Forms vers la version 3.15.4 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).