CVE-2026-65048

Nome do Software Vulnerável e Versões Afetadas Ninja Forms versões 3.10.4 through 3.14.9

Description O recurso Repeatable Fieldset contém um problema de cross-site scripting armazenado não autenticado. Isso ocorre porque a função parseSubmissionIndex() aceita strings arbitrárias como índices de envio sem validação numérica, e a função admin form element() interpola esse índice diretamente no HTML sem escape. Um atacante não autenticado pode enviar um formulário público com uma chave secundária de repetidor manipulada contendo cargas úteis de script maliciosas. Esses scripts são executados no navegador de um administrador ao visualizar os envios no painel de administração do WordPress, permitindo o roubo de cookies de sessão, a criação de contas de administrador, a instalação de plugins maliciosos e a modificação arbitrária do conteúdo do site.

Recommendations Atualize o Ninja Forms para uma versão posterior à 3.14.9.