CVE-2026-87870 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 10.09.2026
Das WordPress-Plugin Ninja Forms - Scheduled Exports ist in allen Versionen bis einschließlich 3.0.3 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über REST-API-Parameter (interval, format, emailTo) anfällig. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Rechten oder höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der REST-Endpunkt wird ohne permission_callback registriert und validiert nur einen Nonce, ohne die Benutzerautorisierungen zu überprüfen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.