CVE-2026-94504
Ninja Forms 3.15.3 memorizza un valore di textarea anonimo non-RTE e lo visualizza senza una corretta codifica HTML di sicurezza nell'editor delle sottomissioni legacy. Un attaccante può uscire dal textarea tramite uno script memorizzato. Quando un amministratore apre l'URL diretto della sottomissione, noto all'attaccante, lo script viene eseguito nell'origine dell'area di amministrazione di WordPress.
Preallarme: sfruttamento osservato
- Sfruttamento osservato dal 6 ott 2026
- Non ancora nel catalogo ufficiale CISA
- Primo attacco osservato 14 giorni dopo la divulgazione
Fonte: VulnCheck KEV · 6 ott 2026
Punteggio CVSS7.2 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NTipo di debolezza (CWE)CWE-79
Articoli correlati
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.