Ninja Forms : faille XSS jusqu'à la 3.15.5, correctif non précisé

En bref

• Produit : Ninja Forms, extension de formulaires pour WordPress.
• Versions affectées : toutes les versions jusqu'à la 3.15.5 incluse.
• Version corrigée : non précisée par l'éditeur à la date de l'avis.
• Sévérité : moyenne, score CVSS 6.1.
• CVE : CVE-2026-100151.
• Exploitation active : inconnu.
• Date de l'avis : 31 octobre 2026.

Une vulnérabilité de type Cross-Site Scripting (XSS) réfléchie, basée sur le DOM, a été publiée le 31 octobre 2026 dans la base NVD pour l'extension WordPress Ninja Forms. Elle porte l'identifiant CVE-2026-100151 et touche toutes les versions jusqu'à la 3.15.5 incluse. Selon l'avis, la faille vient d'une validation des entrées et d'un échappement des sorties insuffisants dans le traitement de certains paramètres d'URL utilisés pour préremplir les champs de formulaire.

Un attaquant non authentifié peut ainsi injecter du script dans une page du site, à condition de convaincre un utilisateur de cliquer sur un lien piégé. Le script s'exécute alors dans le navigateur de la victime, dans le contexte du site. Selon la personne visée (simple visiteur ou administrateur connecté), les conséquences vont de la redirection vers un site malveillant au vol de session ou à des actions effectuées à son insu.

Qui est concerné ?

Tous les sites WordPress qui utilisent Ninja Forms en version 3.15.5 ou antérieure sont concernés. La page officielle de l'extension sur WordPress.org indique 500000 installations actives, ce qui en fait une cible potentiellement large.

La faille ne nécessite aucun compte sur le site, mais elle exige une interaction de la victime : l'attaque passe par un lien spécialement conçu, envoyé par e-mail, par message ou publié sur un autre site. Les administrateurs et éditeurs du site sont les cibles les plus sensibles, puisqu'un script exécuté dans leur session dispose de leurs droits.

À la date de l'avis, aucune exploitation active n'est signalée : la vulnérabilité ne figure pas au catalogue KEV de la CISA. Cela ne garantit pas qu'elle ne sera pas exploitée dans les prochains jours.

Que faire ?

• Vérifier la version de Ninja Forms installée sur chacun de vos sites, depuis l'écran des extensions de l'administration WordPress.
• Mettre à jour Ninja Forms vers la dernière version publiée sur WordPress.org et vérifier dans son journal des modifications qu'elle corrige cette vulnérabilité : la version corrigée est non précisée par l'éditeur dans les sources disponibles.
• Rester vigilant face aux liens reçus qui pointent vers votre propre site, en particulier lorsque vous êtes connecté à l'administration.
• Consulter les journaux d'accès du serveur à la recherche de requêtes inhabituelles vers les pages qui contiennent un formulaire, ainsi que les journaux d'activité de WordPress pour repérer des comptes ou modifications inattendus.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et invalider les sessions des comptes administrateurs.

Cet article sera mis à jour dès qu'une version corrigée sera confirmée par les sources.

Sources

• NVD : fiche CVE-2026-100151 (avis de référence, score CVSS et versions affectées).
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement).
• WordPress.org : page officielle de l'extension Ninja Forms (versions publiées et installations actives).