CVE-2026-65048 in Ninja Forms Plugin
要約
〜によって VulDB • 2026年07月21日
WordPress用プラグイン「Ninja Forms」のバージョン3.10.4から3.14.9には、Repeatable Fieldset機能における認証不要の格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。parseSubmissionIndex()関数は数値検証を行わずに任意の文字列を提出インデックスとして受け入れ、admin_form_element()関数はそのインデックスをエスケープ処理せずに直接HTML内に挿入しています。認証不要のアタッカーは、悪意のあるスクリプトペイロードを含む作成済みリピーター子キーを持つ公開フォームを送信でき、これによりWordPress管理パネルで提出内容を表示する際に管理者のブラウザ上で実行されます。その結果、セッションクッキーの盗難、管理者アカウントの作成、悪性プラグインのインストール、およびサイトコンテンツへの任意の変更が可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.