CVE-2026-109997 in Ninja Forms Plugin
Sumário
de VulDB • 31/10/2026
O plugin Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'formData.extra' em todas as versões até 3.15.5, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O endpoint nf_ajax_submit emite um nonce válido para qualquer solicitante em caso de falha, neutralizando efetivamente a verificação do nonce e tornando a exploração trivialmente alcançável com uma única solicitação não autenticada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.