Risk Letters

Udnyttet sårbarhed

CVE-2026-94504

TLP:CLEAR

Utilstrækkelig Neutralisering af Input Under Generering af Webside ('Cross-site Scripting')

Ninja Forms 3.15.3 lagrer en anonym ikke-RTE-tekstbehandlerværdi og gengiver den uden sikker HTML-kodning i editoren for ældre indsendelser. En angriber kan bryde ud af tekstbehandleren med lagret script. Når en Administrator åbner det angriber-kendte direkte indsendelse-URL, køres scriptet i WordPress admin-oprindelsen.

Fakta

  • Leverandør: kstover
  • Produkt: Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,6 %
  • Første kendte udnyttelse: 6. oktober 2026
  • Første gang set af Risk Letters: 6. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD