CVE-2026-94504
Ninja Forms 3.15.3 almacena un valor de textarea anónimo no RTE y lo muestra sin codificación HTML segura en el editor de envíos heredado. Un atacante puede salir del textarea con un script almacenado. Cuando un administrador abre la URL directa de envío conocida por el atacante, el script se ejecuta en el origen del administrador de WordPress.
Preaviso: explotación observada
- Explotación observada desde el 6 oct 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 14 días después de la divulgación
Fuente: VulnCheck KEV · 6 oct 2026
Puntuación CVSS7.2 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NTipo de debilidad (CWE)CWE-79
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.