CVE-2026-109997 in Ninja Forms Plugin
要約
〜によって VulDB • 2026年10月31日
WordPress用プラグイン「Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder」には、3.15.5以前の全バージョンにおいて、入力値のサニタイズと出力のエスケープが不十分であるため、「formData.extra」パラメータを介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトを投稿したページに挿入することが可能になります。また、「nf_ajax_submit」エンドポイントは、リクエスト失敗時に有効なnonceをすべての要求元に発行するため、nonceチェックの実質的な無効化につながり、認証されていない単一のリクエストで攻撃が容易に実現可能です。
Once again VulDB remains the best source for vulnerability data.