Ninja Forms : faille XSS stockée sans authentification, version corrigée non précisée

En bref

• Produit : Ninja Forms, extension de formulaires pour WordPress.
• Versions affectées : toutes les versions jusqu'à la 3.15.5 incluse.
• Version corrigée : non précisé par l'éditeur à la date de l'avis.
• Sévérité : élevée, score CVSS 7.2.
• CVE : CVE-2026-109997.
• Exploitation active : inconnu.
• Date de l'avis : 31 octobre 2026.

Une vulnérabilité de type Cross-Site Scripting (XSS) stockée a été publiée le 31 octobre 2026 dans la base NVD pour l'extension WordPress Ninja Forms. Elle touche toutes les versions jusqu'à la 3.15.5 incluse. Selon l'avis, la faille provient d'un filtrage insuffisant des données saisies et d'un échappement insuffisant à l'affichage.

Point important : l'attaque ne nécessite aucune authentification. Un visiteur anonyme peut enregistrer du script malveillant qui s'exécutera ensuite dans le navigateur de toute personne consultant la page concernée. L'avis précise qu'un mécanisme de protection anti-falsification de l'extension est neutralisé dans ce scénario, ce qui rend l'exploitation particulièrement simple. Aucun détail technique supplémentaire n'est donné ici.

Qui est concerné ?

Tout site WordPress sur lequel Ninja Forms est installé et activé dans une version inférieure ou égale à la 3.15.5. La fiche de l'extension sur WordPress.org indique 500000 installations actives, ce qui en fait une cible attractive pour les campagnes automatisées.

Le risque est plus élevé pour les sites où des administrateurs ou des éditeurs consultent régulièrement les pages ou les données liées aux formulaires : un script exécuté dans une session d'administration peut servir à créer un compte, modifier des réglages ou injecter du contenu. Les agences qui maintiennent plusieurs sites clients ont intérêt à inventorier rapidement ceux qui utilisent cette extension.

À la date de rédaction, aucune source consultée ne signale d'exploitation active de cette faille, et elle ne figure pas au catalogue KEV de la CISA. Cela ne signifie pas qu'elle n'est pas exploitée.

Que faire ?

• Vérifier la version de Ninja Forms installée sur chacun de vos sites WordPress.
• Mettre à jour l'extension vers une version postérieure à la 3.15.5 dès que l'éditeur la publie ; surveiller la fiche WordPress.org et le journal des modifications.
• En attendant un correctif, envisager de désactiver temporairement l'extension, ou au minimum les formulaires publics non indispensables.
• Contrôler les journaux du serveur et les soumissions de formulaires récentes à la recherche de contenus inhabituels.
• Vérifier la liste des comptes administrateurs et les réglages sensibles du site.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et les clés de sécurité.

Cette alerte sera mise à jour si une version corrigée est publiée ou si une exploitation active est signalée.

Sources

• NVD : CVE-2026-109997, avis officiel publié le 31 octobre 2026.
• Wordfence Threat Intelligence : fiche de la vulnérabilité Ninja Forms.
• WordPress.org : fiche de l'extension Ninja Forms.