CVE-2026-19769 in Ninja Forms Plugin
Résumé
par VulDB • 05/09/2026
Le plugin WordPress Ninja Forms – The Contact Form Builder That Grows With You est vulnérable à un Cross-Site Scripting (XSS) stocké via une confusion de type sur le champ 'type' du Repeater Child, due à une clé de tableau non appariée. Cette faille affecte toutes les versions jusqu'à la 3.15.1 incluse, en raison d'une désinfection des entrées et d'un échappement des sorties insuffisants. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront dès qu'un utilisateur accède à une page injectée. L'exploitation nécessite que l'extension Ninja Forms File Uploads soit active, car l'attaque dirige l'entrée enfant non autorisée vers le gestionnaire de téléchargements de fichiers pour écrire un fichier HTML fourni par l'attaquant contenant du JavaScript arbitraire dans n'importe quel répertoire accessible en écriture sur le serveur web, y compris la racine du site, où il est servi depuis l'origine même du site.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.