CVE-2026-65048 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 21.07.2026
Das Ninja Forms-Plugin für WordPress in den Versionen 3.10.4 bis 3.14.9 enthält eine nicht authentifizierte Stored Cross-Site Scripting (XSS)-Schwachstelle im Feature „Repeatable Fieldset“. Dabei akzeptiert die Funktion `parseSubmissionIndex()` beliebige Strings als Übermittlungsindizes ohne numerische Validierung, und `admin_form_element()` interpoliert den Index direkt in HTML ohne Escaping. Ein nicht authentifizierter Angreifer kann ein öffentliches Formular mit einem manipulierten Repeater-Kind-Schlüssel übermitteln, der bösartige Skript-Payloads enthält. Diese werden im Browser eines Administrators ausgeführt, wenn die Übermittlungen im WordPress-Admin-Bereich angezeigt werden, was zum Diebstahl von Session-Cookies, zur Erstellung von Administrator-Konten, zur Installation schädlicher Plugins und zu beliebigen Änderungen an den Website-Inhalten ermöglicht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.