Ninja Forms : faille d'injection CSV corrigée en 3.15.4

En bref

• Produit : Ninja Forms, extension WordPress de création de formulaires
• Versions affectées : toutes les versions antérieures à 3.15.4
• Version corrigée : 3.15.4
• Sévérité : élevée, score CVSS 7.1
• CVE : CVE-2026-67187
• Exploitation active : inconnu
• Date de l'avis : 28 octobre 2026 (publication au NVD)

De quoi s'agit-il ?

Ninja Forms est une extension de formulaires de contact très répandue sur WordPress : la fiche officielle du plugin sur WordPress.org fait état de 500 000 installations actives. Une vulnérabilité, référencée CVE-2026-67187, touche toutes les versions antérieures à 3.15.4.

Selon la description publiée au NVD, la validation côté serveur de plusieurs types de champs à choix (listes de cases à cocher, listes à sélection multiple, listes d'images, champs pays et région) est incomplète : elle vérifie seulement qu'un champ obligatoire est rempli, sans contrôler que la valeur reçue fait bien partie des choix proposés. Un visiteur non authentifié peut donc soumettre une valeur arbitraire dans ces champs.

Le risque concret est une injection CSV (ou injection de formules). L'échappement prévu pour l'export des soumissions ne s'applique qu'aux champs texte simples. Une valeur malveillante enregistrée dans un champ de liste peut ainsi se retrouver telle quelle dans le fichier CSV exporté, puis être interprétée comme une formule lorsqu'un administrateur ouvre ce fichier dans un tableur. Selon le logiciel et sa configuration, cela peut conduire à l'exfiltration de données du classeur ou à l'exécution d'actions sur le poste de l'administrateur.

Le NVD attribue à cette faille un score CVSS de 7.1, soit une sévérité élevée. À la date de rédaction, elle ne figure pas au catalogue des vulnérabilités activement exploitées de la CISA ; l'existence d'une exploitation dans la nature n'est pas précisée par l'éditeur.

Qui est concerné ?

Tout site WordPress qui utilise Ninja Forms dans une version antérieure à 3.15.4 est concerné, dès lors qu'un formulaire public contient au moins un champ de liste (cases à cocher, sélection multiple, liste d'images, pays ou région). Aucune authentification n'est nécessaire pour soumettre la valeur piégée.

L'impact se matérialise surtout pour les équipes qui exportent régulièrement les soumissions au format CSV pour les traiter dans un tableur : service commercial, support, agence qui gère les demandes de contact pour le compte d'un client.

Que faire ?

• Mettre à jour Ninja Forms vers la version 3.15.4 ou une version ultérieure, depuis l'administration WordPress ou votre outil de gestion de parc.
• Tant que la mise à jour n'est pas appliquée, éviter d'ouvrir directement dans un tableur les exports CSV de soumissions ; si c'est indispensable, désactiver l'exécution automatique des formules et des liaisons externes.
• Examiner les soumissions reçues récemment dans les champs de liste : une valeur qui ne correspond à aucun des choix proposés, en particulier si elle commence par un signe égal, plus, moins ou arobase, doit alerter.
• Vérifier les journaux du serveur web à la recherche de volumes inhabituels de soumissions de formulaires.
• En cas de compromission avérée d'un poste ou de données, restaurer une sauvegarde saine, antérieure à l'incident, et changer les mots de passe concernés.

Sources

• NVD : fiche CVE-2026-67187 (avis de référence, score CVSS et versions)
• VulnCheck : avis sur le contournement de la validation des champs de liste
• WordPress.org : fiche officielle du plugin Ninja Forms