CVE-2026-109997

Nome do Software Vulnerável e Versões Afetadas Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder versões anteriores a 3.15.6

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que são executados quando um usuário as acessa. O endpoint nf ajax submit emite um nonce válido para qualquer solicitante em caso de falha, o que neutraliza a verificação de nonce e permite a exploração por meio de uma única requisição não autenticada usando o parâmetro formData.extra.

Recomendações Atualize para a versão 3.15.6 ou posterior. Evite usar o parâmetro formData.extra no endpoint nf ajax submit até que a atualização seja aplicada.