CVE-2026-65048 in Ninja Forms Plugin
Resumen
por VulDB • 2026-07-21
El plugin Ninja Forms para WordPress, versiones 3.10.4 a través de 3.14.9, contiene una vulnerabilidad de cross-site scripting (XSS) almacenado no autenticada en la función Repeatable Fieldset, donde parseSubmissionIndex() acepta cadenas arbitrarias como índices de envío sin validación numérica, y admin_form_element() interpola el índice directamente en HTML sin escapar los caracteres. Un atacante no autenticado puede enviar un formulario público con una clave hija del repetidor manipulada que contenga payloads de script maliciosos, los cuales se ejecutan en el navegador de un administrador al ver las respuestas en el panel de administración de WordPress, lo que permite el robo de cookies de sesión, la creación de cuentas de administrador, la instalación de plugins maliciosos y la modificación arbitraria del contenido del sitio.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.