CVE-2026-65048 in Ninja Forms Plugin
요약
\~에 의해 VulDB • 2026. 07. 22.
WordPress용 Ninja Forms 플러그인 버전 3.10.4부터 3.14.9까지에는 Repeatable Fieldset 기능에서 인증되지 않은 상태로 저장되는 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 `parseSubmissionIndex()` 함수가 숫자 검증 없이 임의의 문자열을 제출 인덱스로 허용하고, `admin_form_element()` 함수가 해당 인덱스를 이스케이프 처리 없이 HTML에 직접 삽입하기 때문에 발생합니다. 인증되지 않은 공격자는 악성 스크립트 페이로드를 포함한 조작된 리피터 자식 키(public form)를 제출할 수 있으며, 이는 WordPress 관리자 패널에서 제출 내역을 조회하는 동안 관리자의 브라우저에서 실행됩니다. 이를 통해 세션 쿠키 탈취, 관리자 계정 생성, 악의적 플러그인 설치 및 사이트 콘텐츠의 임의 수정이 가능해집니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.