CVE-2026-94504
Ninja Forms 3.15.3 speichert einen anonymen Textarea-Wert ohne Rich-Text-Editor (non-RTE) und gibt ihn im Legacy-Bearbeitungsbereich für Formularübermittlungen ohne sichere HTML-Kodierung aus. Ein Angreifer kann mit gespeichertem Skript aus dem Textarea-Element ausbrechen. Wenn ein Administrator die dem Angreifer bekannte direkte URL der Übermittlung öffnet, wird das Skript im Ursprung (Origin) des WordPress-Admin-Bereichs ausgeführt.
Frühwarnung: Ausnutzung beobachtet
- Ausnutzung beobachtet seit dem 06.10.2026
- Noch nicht im offiziellen CISA-Katalog
- Erster Angriff 14 Tage nach der Veröffentlichung beobachtet
Quelle: VulnCheck KEV · 06.10.2026
CVSS-Score7.2 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NSchwachstellentyp (CWE)CWE-79
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.