脆弱性の詳細
Ninja Forms：ブラウザー上での不正な処理
WordPress プラグインCVE-2026-65048重要度：深刻悪用状況：未確認修正版：要確認対象版の公式記載に相違があるため、以下の説明だけで対象外・修正済みと判断しないでください。Ninja Formsプラグイン（WordPress）バージョン3.10.4から3.14.9までの間に、Repeatable Fieldset機能で送信インデックスを数値として検証せず任意の文字列を受け入れ、さらにそのインデックスをエスケープせずにHTMLへ埋め込む実装上の欠陥があります。この欠陥により、認証されていない攻撃者が公開フォームに細工した子キーを含むデータを送信でき、管理画面で送信内容を閲覧した管理者のブラウザーで悪意のあるスクリプトが実行されます。
危険と対策
公式情報から自動作成した日本語解説・作成 2026/10/25 09:21 JST
どんな危険？
管理者のブラウザーでスクリプトが実行されることで、セッションCookieの盗難、管理者アカウントの作成、悪意あるプラグインのインストール、サイトコンテンツの任意変更が可能になります。
原文の抜粋 1自分は対象？
- 対象の版
- Ninja Forms：3.10.4以上・3.14.9未満Ninja Forms：原典の既定状態: 影響あり。個別指定外の版は例外・条件を原文で確認してください。
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
使っているバージョンの調べ方
WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Ninja Forms」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。
一般的な作業手順根拠 8
すぐに更新できないとき
対応が終わったら確認すること
まだ分からないこと・判断の限界
- この解説は、利用中の機器・サイトの設定や修正の適用状況を検査した結果ではありません。製品名・版と上に示した条件を、実際の環境と照合してください。
- 今回取得した資料から、修正済みと明記された版の番号を取り出せていません。修正が存在しないという意味ではありません。対象の製品・現在の版を添え、提供元に修正版の番号と適用方法を確認してください。
- 対象版の公式記載に相違があります。Ninja Formsについて、説明文は「3.10.4から3.14.9」、対象表は「3.10.4以上、3.14.9未満」です。説明文と対象表のどちらか一方だけで対象外や修正済みと判断せず、利用中の版を添えて提供元に確認してください。
管理会社・担当者に聞くための確認メモ
自分で操作できない場合に使えます。コピー先で空欄を埋めて担当者へ送ってください。
この解説・手順の根拠
説明に対応する原文の抜粋
日本語の説明の根拠になった、取得済みの公式情報です。各抜粋を開くと、出典と元の文章を確認できます。
抜粋 1：raw.githubusercontent.com
Ninja Forms plugin for WordPress versions 3.10.4 through 3.14.9 contains an unauthenticated stored cross-site scripting vulnerability in the Repeatable Fieldset feature where parseSubmissionIndex() accepts arbitrary strings as submission indexes without numeric validation, and admin_form_element() interpolates the index directly into HTML without escaping. An unauthenticated attacker can submit a public form with a crafted repeater child key containing malicious script payloads, which execute in an administrator's browser when viewing submissions in the WordPress admin panel, enabling session-cookie theft, creation of administrator accounts, installation of malicious plugins, and arbitrary modification of site content.
この抜粋の出典を開く取得元の項目：/containers/cna/descriptions/0/value ／ 言語：en
抜粋 2：raw.githubusercontent.com
Ninja Forms Unauthenticated Stored Cross-Site Scripting via Repeatable Fieldset Submission Index
この抜粋の出典を開く取得元の項目：/containers/cna/title ／ 言語：未指定
抜粋 3：raw.githubusercontent.com
{"defaultStatus":"affected","vendor":"Saturday Drive","product":"Ninja Forms","versions":[{"status":"affected","version":"3.10.4","versionType":"semver","lessThan":"3.14.9"},{"status":"unaffected","version":"3.14.9","versionType":"semver"}]}
この抜粋の出典を開く取得元の項目：/containers/cna/affected/0 ／ 言語：未指定
悪用状況の「未確認」は、悪用されていないことを意味しません。対策は製品・バージョン・利用条件によって異なります。適用前に情報源とご自身の環境を確認してください。
情報の出典と更新日時
CVSS評価元：VulnCheck。重要度は技術的な深刻度の目安であり、対応の順序は悪用状況や利用環境も含めて判断してください。
情報源ごとの取得日時
原典の更新日時と当サイトの取得日時は、情報源ごとに異なります。上の更新・取得日時は、それぞれの最新値です。
- CVE原典の更新：2026/07/22 23:56 JST取得：2026/10/25 09:21 JST
- NVD原典の更新：2026/10/25 05:10 JST取得：2026/10/25 09:17 JST
原文と条件を確認
Ninja Forms plugin for WordPress versions 3.10.4 through 3.14.9 contains an unauthenticated stored cross-site scripting vulnerability in the Repeatable Fieldset feature where parseSubmissionIndex() accepts arbitrary strings as submission indexes without numeric validation, and admin_form_element() interpolates the index directly into HTML without escaping. An unauthenticated attacker can submit a public form with a crafted repeater child key containing malicious script payloads, which execute in an administrator's browser when viewing submissions in the WordPress admin panel, enabling session-cookie theft, creation of administrator accounts, installation of malicious plugins, and arbitrary modification of site content.