CVE-2026-15161

Nome do Software Vulnerável e Versões Afetadas Ninja Forms - Excel Export versões anteriores a 3.3.7

Descrição Ocorre Cross-Site Scripting Armazenado quando o manipulador AJAX save filter() armazena a matriz filter bruta da requisição $ POST em uma opção do WordPress via update option() sem realizar verificações de capacidade, verificação de nonce ou sanitização de entrada. Subsequentemente, o método get filter row() na tela de Exportação de Excel do administrador concatena os valores armazenados field key, condition e value diretamente em atributos HTML sem utilizar esc attr(). Isso permite que atacantes autenticados com nível de acesso de assinante ou superior injetem scripts web arbitrários que são executados sempre que um usuário acessa a página afetada.

Recomendações Atualize para uma versão posterior à 3.3.6.