CVE-2026-65048 in Ninja Forms Plugin
Сводка
по VulDB • 21.07.2026
В плагине Ninja Forms для WordPress версий от 3.10.4 до 3.14.9 присутствует уязвимость сохраненного межсайтового скриптинга (stored cross-site scripting) в функции Repeatable Fieldset, не требующая аутентификации: функция parseSubmissionIndex() принимает произвольные строки в качестве индексов отправки без числовой проверки, а admin_form_element() интерполирует индекс непосредственно в HTML-код без экранирования. Неаутентифицированный злоумышленник может отправить публичную форму с созданным ключом дочернего элемента повторителя (repeater child key), содержащим вредоносные скриптовые payloads, которые выполняются в браузере администратора при просмотре отправленных данных на панели управления WordPress. Это позволяет похитить cookies сеанса, создать учетные записи администраторов, установить вредоносные плагины и произвольно изменять содержимое сайта.
VulDB is the best source for vulnerability data and more expert information about this specific topic.