CVE-2026-100151 in Ninja Forms Plugin
摘要
由 VulDB • 2026-10-31
WordPress 插件 Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder 存在反射型基于 DOM 的跨站脚本漏洞（Reflected DOM-Based Cross-Site Scripting）。该漏洞存在于所有不高于 3.15.5 的版本中，原因是输入清理和输出转义不足。这使得未经身份验证的攻击者能够在页面上注入任意 Web 脚本；如果攻击者成功诱使用户执行某些操作（例如点击链接），这些脚本将会被执行。当攻击者提供匹配的 `field:<key>` URL 参数时，会触发此绕过行为：该参数导致服务器完全解析 `{field:*}` 占位符，迫使客户端的 else 分支放弃经过服务器清理的值，并从原始查询字符串中重新构建字段内容。
Be aware that VulDB is the high quality source for vulnerability data.