CVE-2026-12142
WysokieCVSS 7.2Streszczenie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr tablicy '_name[]'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonują się w przeglądarkach administratorów i użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub dalszego rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę NEX-Forms do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.
Inne podatności w NEX-Forms
Zobacz wszystkie- CVE-2026-15602Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.4 jest podatna na ogólną iniekcję SQL przez parametr 'additional_params'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora dołączanie dodatkowych zapytań SQL. Jest to podatność drugiego rzędu, wyzwalana podczas eksportu CSV.
- CVE-2026-10525Średnie
Wtyczka NEX-Forms dla WordPressa przed wersją 9.2.3 nie oczyszcza i nie koduje niektórych danych przesłanych z formularza przed ich zapisaniem i wyświetleniem w panelu administracyjnym, co prowadzi do podatności na trwałe Cross-Site Scripting (XSS). Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków XSS na uprzywilejowanych użytkowników, takich jak administratorzy, podczas przeglądania przesłanych wpisów.
- CVE-2026-57668Wysokie
Wtyczka NEX-Forms dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 9.2.2 włącznie.
- CVE-2026-9017Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym nadpisywać pola saved_admin_email, saved_user_email i saved_user_email_address w dowolnych wpisach formularzy innych użytkowników. Atakujący może również wysyłać kontrolowaną przez siebie treść e-mail na wybrane adresy.
- CVE-2026-13040Wysokie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywane ataki XSS przez parametr 'real_val__'. Brak odpowiedniej sanitacji i eskapowania danych wejściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-12404Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera podatność na pominięcie autoryzacji. Niezalogowani atakujący mogą wyliczyć sekwencyjne identyfikatory raportów i pobrać pełne dane przesłanych formularzy, w tym nazwiska, adresy e-mail, numery telefonów, adresy pocztowe, dane płatności i ścieżki przesłanych plików.
Oryginalny opis (angielski, źródło NVD)
The NEX-Forms – Ultimate Forms Plugin for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via '_name[]' Array Parameter in all versions up to, and including, 9.2.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The wp_kses() output filtering pass provides no mitigation because NEXForms_allowed_tags() explicitly permits <script>, <iframe src/srcdoc>, and JS event handlers such as onClick, onBlur, and onChange in its allow-list.