KMO-IMPACT: ACTIE NODIG
Wie Ninja Forms, JetFormBuilder of Redirection for Contact Form 7 draait, moet vandaag zijn pluginversies controleren en updaten. WPScan publiceert de proof-of-concept voor Ninja Forms op woensdag 16 september 2026; voor JetFormBuilder en Redirection for Contact Form 7 volgt die op donderdag 17 september 2026. Tot die data blijven de technische details beperkt; daarna wordt uitbuiten eenvoudiger.
De drie lekken laten ongeauthenticeerde aanvallers shortcodes uitvoeren die andere plugins op de site hebben geregistreerd. Wat iemand daarmee kan uitlezen of tonen, hangt af van welke shortcodes er staan. Het is geen remote code execution volgens de meldingen, wel shortcode-uitvoering en mogelijke output- of data-exposure.
Welke versies zijn kwetsbaar?
Ninja Forms (CVE-2026-80437, CVSS 4.8) raakt versies 3.14.10 tot en met 3.15.1; vast in 3.15.2. Het gaat om willekeurige shortcode-uitvoering via IP- en Referer-merge tags. Uitbuiten lukt alleen als de site een van die waarden toont. Onderzoeker Jakub Herman. Ninja Forms telt ongeveer 600.000 actieve installs; de actuele wordpress.org-versie is 3.15.3 (stand 15 september 2026).
Redirection for Contact Form 7 (slug wpcf7-redirect, CVE-2026-80439, CVSS 4.8) raakt 2.2.7 tot en met 3.2.10; vast in 3.2.11. Shortcodes in ingediende formuliervelden worden uitgevoerd via mail-tags in de action-instellingen, als daar een formulierveld is geconfigureerd. Zelfde onderzoeker. Ongeveer 200.000 actieve installs; actueel 3.2.12.
JetFormBuilder (CVE-2026-19859, CVSS 6.5) raakt versies vóór 3.6.5.2: ongeauthenticeerde shortcode-uitvoering via de parameter status op pagina’s met een formulier. In dezelfde 3.6.5.2 zit ook CVE-2026-19862 (email header injection). PoC voor beide op 17 september 2026. Ongeveer 80.000 actieve installs; actueel 3.6.5.3. In geen van de bronnen staat een KEV-vermelding of bevestigde actieve exploitatie.
Wat betekent dit voor uw onderneming?
Voor wie: Vlaamse kmo’s met een WordPress-site die Ninja Forms, JetFormBuilder of Redirection for Contact Form 7 gebruikt (contact, offertes, webshop-aanmeldingen).
Vanaf wanneer: PoC Ninja Forms woensdag 16 september 2026; JetFormBuilder en Redirection for CF7 donderdag 17 september 2026.
Financiële impact: niet gekwantificeerd in de bronnen; risico is blootstelling van gegevens die shortcodes kunnen tonen of doorgeven.
Wat moet u doen: versies checken in WP-beheer → Plugins; updaten naar minstens Ninja Forms 3.15.2 (liever 3.15.3), JetFormBuilder 3.6.5.2+ (liever 3.6.5.3), Redirection for CF7 3.2.11+ (liever 3.2.12). Overweeg automatische plugin-updates voor beveiligingsreleases.
Deadline: update vóór woensdag 16 september 2026 (Ninja Forms) en vóór donderdag 17 september 2026 (de andere twee).
Nog niet duidelijk: of er al actieve aanvallen lopen; bronnen melden dat niet.
