Niet-geauthenticeerde XSS-kwetsbaarheid in WordPress-plugin Ninja Forms (CVE-2026-102385)

Wat is er gebeurd

Er is een Cross-Site Scripting (XSS)-kwetsbaarheid geïdentificeerd in de WordPress-plugin Ninja Forms, die versies tot en met 3.15.3 treft. Het probleem valt onder CWE-79 (onjuiste neutralisatie van invoer tijdens het genereren van webpagina's). De kwetsbaarheid is gepubliceerd op 30 september 2026 en geregistreerd als CVE-2026-102385.

Technische oorzaak

Het gaat om een niet-geauthenticeerde Cross-Site Scripting (XSS)-kwetsbaarheid. Volgens de CVSS-vector (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L) kan de aanval op afstand via het netwerk worden uitgevoerd, met een lage aanvalscomplexiteit en zonder dat er rechten op het doelsysteem nodig zijn. Er is echter wel interactie van een gebruiker vereist, bijvoorbeeld door een slachtoffer te verleiden op een kwaadaardige link te klikken. Er zijn geen verdere technische details beschikbaar over het precieze injectiepunt of de betrokken formulierfunctionaliteit.

Waarom dit belangrijk is

Cross-Site Scripting-kwetsbaarheden stellen aanvallers in staat kwaadaardige scripts te injecteren die worden uitgevoerd binnen de browsersessie van een slachtoffer. Omdat deze kwetsbaarheid zonder authenticatie kan worden geactiveerd, loopt elke bezoeker van een kwetsbare site potentieel risico, mits deze wordt verleid tot interactie met een kwaadaardig element. De CVSS-score van 7.1 weerspiegelt een scope-wijziging (S:C), wat betekent dat de impact zich mogelijk uitstrekt buiten de kwetsbare component zelf, naast beperkte impact op vertrouwelijkheid, integriteit en beschikbaarheid (elk beoordeeld als laag).

Wie wordt getroffen

Elke WordPress-site die Ninja Forms gebruikt in versie 3.15.3 of ouder is mogelijk kwetsbaar. Ninja Forms is een populaire plugin die wordt gebruikt voor het bouwen van contactformulieren, rekenmodules, quizzen en andere interactieve formulieren op WordPress-sites, met een geschat installatiebestand van enkele honderdduizenden sites.

Getroffen versies

Versies van Ninja Forms tot en met 3.15.3 zijn gedocumenteerd als kwetsbaar. Het bronmateriaal verwijst in de titel van het advies naar versie 3.15.5 als de versie waarna het probleem zou zijn verholpen, maar PatchBriefing heeft op dit moment niet onafhankelijk kunnen bevestigen of er daadwerkelijk een fix beschikbaar is en wat deze inhoudt.

Fixes en mitigatie

Het feitenpakket geeft aan dat er geen bevestigde fix beschikbaar is ('fix_available: false'), ondanks dat de titel van het advies verwijst naar versie 3.15.5. PatchBriefing kan niet met zekerheid bevestigen of er een gepatchte release bestaat en wat deze eventueel bevat. Sitebeheerders wordt aangeraden het officiële wijzigingslogboek van Ninja Forms en de WordPress.org pluginrepository in de gaten te houden voor updates, en de geïnstalleerde versie te vergelijken zodra een bevestigde fix beschikbaar komt.

Aanbevolen actie

Beheerders die Ninja Forms gebruiken, wordt aangeraden hun huidige geïnstalleerde versie te controleren en te vergelijken met de laatst beschikbare versie in de WordPress-pluginrepository. Zolang er geen bevestigde gefixte versie is vastgesteld, is het verstandig de verwerking van formulierinvoer te controleren, interactie met niet-vertrouwde gebruikers waar mogelijk te beperken, en te letten op ongebruikelijke activiteit rond formulierinzendingen.