یک آسیب‌پذیری امنیتی با شدت بالا (High) در افزونه Ninja Forms نسخه 3.15.3 شناسایی شده است که امکان اجرای کداتک در محیط مدیریت وردپرس را فراهم می‌کند.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی (CVE-2026-94504) به دلیل عدم استفاده از HTML Encoding ایمن در هنگام رندر کردن مقادیر فیلدهای textarea (غیر RTE) در ویرایشگر قدیمی ارسال‌ها (Legacy Submission Editor) رخ می‌دهد. در این حالت، مقادیر ارسالی توسط کاربران ناشناس به صورت ناامن ذخیره شده و سپس نمایش داده می‌شوند.
سناریوی حمله
- مهاجم با ارسال یک مقدار مخرب در فیلد متنی، اسکریپت خود را در پایگاه داده ذخیره می‌کند (Stored XSS).
- مهاجم با استفاده از یک URL مستقیم به ارسال مربوطه، مدیر سایت (Administrator) را ترغیب به باز کردن آن صفحه می‌کند.
- به محض باز شدن صفحه توسط مدیر، اسکریپت مخرب در Origin مدیریت وردپرس اجرا شده و می‌تواند منجر به سرقت Session یا تغییرات غیرمجاز در تنظیمات سایت شود.
