600,000个网站面临风险:Ninja Forms存储型XSS漏洞CVE-2026-65048,CVSS评分高达9.3

sec随谈
sec随谈

sec随谈

2026年7月23日 09:14
北京

在小说阅读器读本章

去阅读

摘要

研究人员披露了WordPress插件Ninja Forms中的四个漏洞，该插件已在超过60万个网站上运行。其中最严重的是编号为CVE-2026-65048的Ninja Forms漏洞，这是一个无需身份验证即可利用的存储型XSS漏洞，CVSS评分高达9.3。这四个漏洞均已在3.14.10版本中修复。

为何重要

Ninja Forms的活跃安装量超过60万个，因此单个表单页面就可能暴露给大量用户。其中两个漏洞完全无需登录即可利用，这大大提高了风险等级。

攻击原理

CVE-2026-65048（CVSS 9.3）是其中最突出的漏洞。攻击者提交一个包含恶意脚本的公开表单，脚本被藏在精心构造的重复字段（repeater key）中。当管理员查看提交内容时，该脚本便会在其浏览器中执行。由此，攻击者可以窃取会话Cookie，或创建恶意的管理员账户。

其余三个漏洞的攻击目标各不相同。CVE-2026-65052（CVSS 8.7）允许攻击者篡改支付总额，甚至可将金额改为零。CVE-2026-65049（CVSS 8.4）允许子站点管理员清空整个多站点网络中的所有Ninja Forms数据。CVE-2026-65050（CVSS 7.1）会导致已存储的提交内容泄露，包括姓名、邮箱和电话号码等信息。

受影响版本

这些漏洞分布在不同的版本分支中。存储型XSS漏洞影响3.10.4至3.14.9版本，其余三个漏洞则影响3.14.8及更早版本。

利用现状

目前尚未发现针对此次Ninja Forms漏洞集的实际在野利用案例，也尚未有公开的概念验证（PoC）代码发布。

补丁与应对措施

请立即更新至Ninja Forms 3.14.10版本，该版本修复了全部四个问题。你可以直接从官方的Ninja Forms 3.14.10下载包获取修复版本。更新完成后，请检查管理员账户，并审查近期的表单提交记录，留意是否存在异常情况。

参考链接：

https://downloads.wordpress.org/plugin/ninja-forms.3.14.10.zip