CVE-2026-94504: хранимая XSS в Ninja Forms до версии 3.15.3
В плагине Ninja Forms для WordPress обнаружена уязвимость хранимой межсайтовой скриптовой атаки (Stored XSS) с оценкой CVSS 7.2 (HIGH). Проблема затрагивает версии до 3.15.3 включительно и позволяет атакующему внедрить вредоносный скрипт через анонимную форму. При открытии администратором ссылки на отправку скрипт выполняется в контексте административной панели WordPress.
Подробности
Уязвимость затрагивает плагин Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder (автор kstover) в версиях до 3.15.3 включительно. Причина проблемы — некорректная обработка значения анонимного поля textarea (без Rich Text Editor). Плагин сохраняет введённое значение и затем отображает его в устаревшем (legacy) редакторе отправленных заявок без безопасного HTML-кодирования. Это позволяет атакующему «вырваться» из тега textarea и внедрить произвольный JavaScript-код, который сохраняется в базе данных сайта. Сценарий эксплуатации: злоумышленник отправляет через форму специально подготовленное значение поля, после чего получает известный ему прямой URL отправленной заявки. Когда администратор сайта открывает эту ссылку, внедрённый скрипт выполняется в origin административной панели WordPress. Это даёт возможность выполнять действия от имени администратора: изменять настройки, создавать учётные записи, внедрять дополнительный вредоносный код и полностью компрометировать сайт. Оценка CVSS 7.2 (HIGH) отражает высокую опасность, поскольку для эксплуатации не требуется учётная запись, а последствия реализуются в привилегированном контексте.Что делать
- Обновите плагин Ninja Forms до версии выше 3.15.3 сразу после выпуска исправления разработчиком. - Если обновление временно недоступно, рассмотрите временное отключение плагина либо ограничение доступа к устаревшему редактору отправленных заявок. - Ограничьте число пользователей с административными правами и включите двухфакторную аутентификацию для учётных записей администраторов. - Проведите проверку уже сохранённых заявок на наличие подозрительных HTML/JavaScript-фрагментов и очистите их. - Настройте веб-application firewall (WAF) для фильтрации подозрительных полезных нагрузок, поступающих через формы. ИТОГ CVE-2026-94504 — серьёзная уязвимость хранимой XSS в Ninja Forms, позволяющая неаутентифицированному атакующему внедрить скрипт, который сработает в браузере администратора WordPress. Единственная надёжная мера защиты — своевременное обновление плагина до версии выше 3.15.3. До выпуска патча рекомендуется применять компенсирующие меры: отключение плагина, ограничение доступа к редактору заявок и фильтрацию трафика на уровне WAF.Источник: CVE Project (cvelistV5)