CVE-2026-94504
Ninja Forms 3.15.3 stocke une valeur de zone de texte anonyme non-RTE et l'affiche sans encodage HTML sécurisé dans l'éditeur de soumissions hérité. Un attaquant peut sortir de la zone de texte à l'aide d'un script stocké. Lorsqu'un administrateur ouvre l'URL directe de soumission connue de l'attaquant, le script s'exécute dans l'origine de l'administration WordPress.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 6 oct. 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 14 jours après la divulgation
Source : VulnCheck KEV · 6 oct. 2026
Score CVSS7.2 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NType de faiblesse (CWE)CWE-79
Articles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.