JVN#50361500
WordPress用プラグインNinja Formsにおける複数の脆弱性

Saturday Driveが提供するWordPress用プラグインNinja Formsには、複数の脆弱性が存在します。

CVE-2024-25572

• Ninja Forms 3.4.31より前のバージョン

• Ninja Forms 3.8.1より前のバージョン

Saturday Driveが提供するWordPress用プラグインNinja Formsには、次の複数の脆弱性が存在します。

• クロスサイトリクエストフォージェリ（CWE-352）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N 基本値 4.3
  • CVE-2024-25572
• Submit処理に関する蓄積型クロスサイトスクリプティング（CWE-79）
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
  • CVE-2024-26019
• ラベルのカスタムフィールドに関する蓄積型クロスサイトスクリプティング（CWE-79）
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
  • CVE-2024-29220

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログインした状態のサイト管理者が、細工されたページにアクセスした場合、意図しない操作をさせられる（CVE-2024-25572）
• 当該製品を使用しているサイトにアクセスしているユーザのウェブブラウザ上で、任意のスクリプトを実行される（CVE-2024-26019、CVE-2024-29220）

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。