CVE-2026-65048
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms dla WordPress w wersjach od 3.10.4 do 3.14.9 zawiera nieuwierzytelnioną podatność na trwałe XSS w funkcji Repeatable Fieldset. Funkcja parseSubmissionIndex() akceptuje dowolne ciągi znaków jako indeksy zgłoszeń bez walidacji numerycznej, a admin_form_element() interpoluje indeks bezpośrednio do HTML bez escapowania. Nieuwierzytelniony atakujący może przesłać publiczny formularz ze spreparowanym kluczem dziecka powtarzalnego pola zawierającym złośliwy ładunek skryptowy, który wykona się w przeglądarce administratora podczas przeglądania zgłoszeń w panelu administracyjnym WordPress.
Ocena ryzyka
Ryzyko dla organizacji obejmuje kradzież ciasteczek sesji, tworzenie kont administratora, instalację złośliwych wtyczek oraz dowolną modyfikację treści strony, co może prowadzić do całkowitego przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Ninja Forms do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji należy ograniczyć dostęp do panelu administracyjnego WordPress oraz monitorować zgłoszenia formularzy pod kątem podejrzanych wpisów.
Oryginalny opis (angielski, źródło NVD)
Ninja Forms plugin for WordPress versions 3.10.4 through 3.14.9 contains an unauthenticated stored cross-site scripting vulnerability in the Repeatable Fieldset feature where parseSubmissionIndex() accepts arbitrary strings as submission indexes without numeric validation, and admin_form_element() interpolates the index directly into HTML without escaping. An unauthenticated attacker can submit a public form with a crafted repeater child key containing malicious script payloads, which execute in an administrator's browser when viewing submissions in the WordPress admin panel, enabling session-cookie theft, creation of administrator accounts, installation of malicious plugins, and arbitrary modification of site content.