CVE-2026-92438: неутентифицированный Stored XSS в Ninja Forms 3.15.3
В плагине Ninja Forms для WordPress версии 3.15.3 обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Значения полей формы не экранируются при выводе в административном интерфейсе, что позволяет неаутентифицированному злоумышленнику внедрить произвольный скрипт. Оценка критичности — 8.8 (HIGH).
Подробности
Уязвимость CVE-2026-92438 затрагивает плагин Ninja Forms версии 3.15.3. Согласно описанию, плагин не выполняет экранирование значений полей отправленной формы перед их выводом на экране редактирования заявки (submission edit screen) в административной части сайта. Это означает, что любой неаутентифицированный пользователь может отправить через общедоступную форму специально сформированное значение, содержащее вредоносный JavaScript-код. Скрипт сохраняется в базе данных и затем автоматически выполняется в браузере привилегированного пользователя (например, администратора), который открывает соответствующую заявку для просмотра или редактирования. Слабые места — поля типа Paragraph Text, однако фактический вектор зависит от конфигурации конкретной формы. Успешная эксплуатация позволяет злоумышленнику выполнить произвольный код в контексте сессии администратора: перехватить cookie, изменить настройки сайта, создать новых пользователей с повышенными правами или перенаправить жертву на сторонний ресурс. Уязвимости присвоена оценка CVSS 8.8 (HIGH), что отражает высокий уровень опасности при низкой сложности эксплуатации и отсутствии необходимости аутентификации со стороны атакующего. Информация об исправленных версиях в записи CVE не указана.Что делать
Поскольку официальные данные о наличии патча в записи CVE отсутствуют, рекомендуется принять следующие меры: - Проверить используемую версию Ninja Forms. Если установлена 3.15.3, рассмотреть возможность обновления до актуальной версии сразу после её выпуска или временного отключения плагина до выхода исправления. - Ограничить доступ к административной панели WordPress по IP-адресам или перевести её за VPN, чтобы снизить вероятность открытия вредоносной заявки привилегированным пользователем. - Включить строгую политику Content Security Policy (CSP) на уровне веб-сервера — это может заблокировать выполнение внедрённых скриптов даже при наличии уязвимости. - Провести аудит уже поступивших заявок на предмет подозрительного содержимого и очистить базу данных от потенциально опасных записей. - Регулярно отслеживать обновления безопасности плагина Ninja Forms на официальном сайте разработчика и в базах уязвимостей.Итог
CVE-2026-92438 — серьёзная уязвимость хранимого XSS в Ninja Forms 3.15.3, эксплуатируемая без аутентификации. До выпуска официального патча администраторам сайтов на WordPress следует минимизировать риск: ограничить доступ к панели управления, включить CSP и провести проверку уже сохранённых заявок. Владельцам сайтов рекомендуется держать плагины в актуальном состоянии и подписываться на уведомления об обновлениях безопасности.Источник: CVE Project (cvelistV5)