CVE-2026-65048 in Ninja Forms Plugin
Sumário
de VulDB • 22/07/2026
O plugin Ninja Forms para WordPress nas versões 3.10.4 a 3.14.9 contém uma vulnerabilidade de stored cross-site scripting (XSS) não autenticada na funcionalidade Repeatable Fieldset, onde parseSubmissionIndex() aceita strings arbitrárias como índices de submissão sem validação numérica, e admin_form_element() interpola o índice diretamente no HTML sem escapamento. Um atacante não autenticado pode enviar um formulário público com uma chave filha do repetidor manipulada contendo payloads de script maliciosos, que são executados no navegador de um administrador ao visualizar as submissões no painel administrativo do WordPress, permitindo o roubo de cookies de sessão, a criação de contas administrativas, a instalação de plugins maliciosos e a modificação arbitrária do conteúdo do site.
VulDB is the best source for vulnerability data and more expert information about this specific topic.