CVE-2026-102385 Ninja Forms 未认证跨站脚本漏洞
影响未认证攻击者可注入恶意脚本，在受害者浏览器中执行
AI 研判
Ninja Forms 3.15.3 及之前版本存在未认证跨站脚本（XSS）漏洞。攻击者无需登录即可注入恶意脚本代码，当用户访问受影响页面时脚本会在其浏览器中执行。该漏洞 CVSS 评分为 7.1，属于高危漏洞。
影响范围
Ninja Forms
Ninja Forms 插件 3.15.3 及更早版本受影响，具体修复版本暂无公开信息。
漏洞详情
该漏洞属于反射型或存储型跨站脚本（XSS），成因是插件对用户可控输入未做充分的输出编码或过滤。未认证攻击者可构造包含恶意脚本的请求或表单数据，诱导受害者访问后脚本在其浏览器上下文中执行。
利用条件与风险
利用无需认证，攻击者可通过钓鱼链接或恶意表单提交触发，可能导致会话劫持、敏感信息窃取或页面篡改。
修复建议
建议升级至官方发布的最新修复版本；若暂无可用补丁，可部署 WAF 过滤恶意脚本输入，并对表单提交内容进行严格转义与校验。
原始情报
Unauthenticated Cross Site Scripting (XSS) in Ninja Forms <= 3.15.3 versions.