CVE-2021-34648

**Nome do software vulnerável e versões afetadas:

Plugin Ninja Forms para WordPress, versões até e incluindo a 3.5.7

Descrição:

A vulnerabilidade permite que invasores autenticados enviem e-mails arbitrários a partir do servidor afetado por meio do endpoint da API REST “/ninja-forms-submissions/email-action”, utilizando a função trigger email action encontrada no arquivo ~/includes/Routes/Submissions.php. Isso pode ser usado para aplicar engenharia social nas vítimas.

Recomendações:

Para versões até e incluindo a 3.5.7, atualize para uma versão posterior à 3.5.7 para resolver o problema.

Como solução temporária, considere desativar a função trigger email action até que um patch esteja disponível.

Restrinja o acesso ao endpoint da API REST “/ninja-forms-submissions/email-action” para minimizar o risco de exploração.