CVE-2026-65048 in Ninja Forms Plugin
Tóm tắt
Bởi VulDB • 21/07/2026
Plugin Ninja Forms cho WordPress các phiên bản từ 3.10.4 đến 3.14.9 chứa một lỗ hổng lưu trữ cross-site scripting (XSS) không cần xác thực trong tính năng Repeatable Fieldset, nơi hàm parseSubmissionIndex() chấp nhận các chuỗi tùy ý làm chỉ mục gửi dữ liệu mà không có kiểm tra số học, và admin_form_element() nội suy trực tiếp chỉ mục này vào HTML mà không thoát ký tự. Một kẻ tấn công chưa được xác thực có thể gửi một biểu mẫu công khai với khóa con repeater đã được tạo ra chứa mã độc script, sẽ thực thi trên trình duyệt của quản trị viên khi xem các bản ghi gửi dữ liệu trong bảng điều khiển WordPress admin, cho phép đánh cắp cookie phiên đăng nhập, tạo tài khoản quản trị viên, cài đặt plugin độc hại và sửa đổi nội dung trang web một cách tùy ý.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.