CVE-2026-91827: уязвимость PHP Object Injection в Ninja Forms 3.15.3 через экспорт CSV
В плагине Ninja Forms для WordPress версии 3.15.3 обнаружена уязвимость десериализации пользовательских данных при экспорте отправленных форм в CSV. Неаутентифицированный атакующий может внедрить вредоносные значения в поля формы, что при экспорте администратором приводит к PHP Object Injection. Критичность оценивается как высокая — CVSS 7.5.
Подробности
Уязвимость затрагивает плагин Ninja Forms версии 3.15.3 для WordPress. Суть проблемы в том, что плагин не предотвращает десериализацию значений полей формы, присланных пользователем, когда администратор впоследствии экспортирует отправленные данные в формат CSV. Иными словами, атакующему не требуется аутентификация: достаточно отправить форму со специально сформированным значением поля. Это значение сохраняется, а затем при экспорте администратором проходит через функцию десериализации PHP. В результате возникает так называемая PHP Object Injection — инъекция PHP-объекта. Сам по себе факт инъекции объекта ещё не гарантирует эксплуатацию. Однако если в системе присутствует подходящая POP-цепочка (цепочка магических методов) — например, через другой установленный плагин или тему, — последствия могут быть серьёзными: от произвольных операций с файлами до удалённого выполнения кода (RCE). Это делает уязвимость особенно опасной в окружениях с большим количеством установленных расширений. Стоит отметить, что в записи CVE продукт указан как «Unknown Ninja Forms» — то есть точные сведения о затронутых сборках и патч-версиях в официальном описании не детализированы. Из заголовка следует, что речь идёт именно о версии 3.15.3.Что делать
Основная рекомендация — обновить Ninja Forms до актуальной версии, в которой устранена десериализация пользовательских значений при экспорте CSV. Поскольку официальные данные о конкретной исправленной версии в записи CVE отсутствуют, следует ориентироваться на последний релиз плагина и следить за обновлениями от разработчика. Дополнительные меры снижения риска: - ограничить круг администраторов, имеющих доступ к экспорту заявок, и выполнять экспорт только после проверки источника данных; - провести ревизию установленных плагинов и тем: наличие лишних или устаревших расширений увеличивает вероятность появления подходящей POP-цепочки; - использовать средства контроля целостности и мониторинга для выявления подозрительной активности после экспорта; - при возможности — ограничить публичный доступ к формам или добавить дополнительные проверки принимаемых значений на уровне WAF.Итог
CVE-2026-91827 — показательный пример того, как связка «сбор пользовательских данных + отложенная обработка» создаёт окно для атаки. Даже без аутентификации злоумышленник может заложить вредоносное значение, которое сработает в момент экспорта. Высокий CVSS 7.5 требует оперативной реакции: обновление плагина и сокращение поверхности атаки за счёт ревизии установленных расширений.Источник: CVE Project (cvelistV5)