Signal is active with 2 mentions in latest observed window
Recommended action window: Monitor and triage in normal cycle
NVD description
The Ninja Forms WordPress plugin 3.15.3 does not escape submitted form field values before outputting them on the submission edit screen in the admin area, which could allow unauthenticated users to submit values through a public form that then execute in the browser of any high-privileged user who reviews the submission.
Priority
LOW
Exploitation
NONE
PoC
NONE
Patch
NONE
Momentum
NONE
⚠️ Vulnerabilidades en Complementos de WordPress ❗ CVE-2026-93485 ❗ CVE-2026-92438 ❗ CVE-2026-19658 ➡️ Más info: https://www.cert.gov.py/vulnerabilidades-en-complementos-de-wordpress-4/ https://t.co/xvy0fej6ZD
🔴 WordPress Ninja Forms eklentisinde yüksek önem dereceli Stored XSS açığı: CVE-2026-92438 Ninja Forms 3.15.3 sürümünü etkileyen açık, kimlik doğrulaması gerektirmiyor ve CVSS 8.8 (High) olarak değerlendiriliyor. Açık, herkese açık formlardaki Paragraph Text Field alanına gönderilen verilerin yönetim panelindeki submission düzenleme ekranında yeterince escape edilmemesinden kaynaklanıyor. Saldırgan, hazırladığı veriyi forma göndererek submission'a kaydedebiliyor. Yüksek ayrıcalıklı bir kullanıcı bu submission'ı görüntülediğinde XSS kodu çalışabiliyor. Etkilenen sürüm: 3.15.3 Düzeltilen sürüm: 3.15.4 ve üzeri WordPress sitelerinde Ninja Forms kullananların sürümlerini kontrol ederek güncelleme yapması gerekiyor. https://wordpress.org/plugins/ninja-forms/