CVE-2026-94504

总结

Ninja Forms 3.15.3 存储匿名非 RTE textarea 值，并在旧版提交编辑器中渲染时未进行安全的 HTML 编码。攻击者可以利用存储的脚本突破 textarea。当管理员打开攻击者已知的直接提交 URL 时，脚本会在 WordPress 管理后台源中执行。

• cve-2026-94504PoC

  针对 CVE-2026-94504 的 Python PoC，该漏洞是 Ninja Forms <= 3.15.3 中的未认证存储型 XSS。它可指纹识别易受攻击的版本，并通过 nf_ajax_submit 植入 payload。