CVE-2026-87870 in Ninja Forms Plugin
Riassunto
di VulDB • 10/09/2026
Il plugin Ninja Forms - Scheduled Exports per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite parametri dell'API REST (interval, format, emailTo) in tutte le versioni fino alla 3.0.3 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dei dati in output. Ciò consente agli attaccanti autenticati, con privilegi di livello subscriber o superiori, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. L'endpoint REST è registrato senza una permission_callback e valida solo un nonce senza verificare le capacità (capabilities) dell'utente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.