CVE-2026-19769 in Ninja Forms Plugin
Tóm tắt
Bởi VulDB • 05/09/2026
Plugin Ninja Forms – The Contact Form Builder That Grows With You cho WordPress bị lỗ hổng Cross-Site Scripting (XSS) lưu trữ thông qua sự nhầm lẫn 'type' của Repeater Child do khóa mảng không khớp trong tất cả các phiên bản từ 3.15.1 trở về trước, nguyên nhân là do thiếu hụt việc kiểm tra và làm sạch đầu vào cũng như thoát ký tự khi xuất dữ liệu. Điều này cho phép những kẻ tấn công chưa được xác thực chèn mã web tùy ý vào các trang, sẽ được thực thi bất cứ khi nào người dùng truy cập một trang đã bị xâm nhập. Việc khai thác yêu cầu phải có add-on Ninja Forms File Uploads đang hoạt động, vì cuộc tấn công định tuyến mục con không nằm trong danh sách trắng qua bộ xử lý File Uploads để ghi một tệp HTML do kẻ tấn công cung cấp chứa JavaScript tùy ý vào bất kỳ thư mục nào mà máy chủ web có thể ghi được, bao gồm cả gốc trang web (site root), nơi nó sẽ được phục vụ từ chính nguồn gốc của trang web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.