CVE-2026-12404
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera podatność na pominięcie autoryzacji. Niezalogowani atakujący mogą wyliczyć sekwencyjne identyfikatory raportów i pobrać pełne dane przesłanych formularzy, w tym nazwiska, adresy e-mail, numery telefonów, adresy pocztowe, dane płatności i ścieżki przesłanych plików.
Ocena ryzyka
Ryzyko polega na możliwości masowego wycieku wrażliwych danych osobowych i finansowych użytkowników, co może prowadzić do naruszenia przepisów o ochronie danych (RODO) oraz utraty zaufania klientów.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę NEX-Forms do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wdrożenia poprawki.
Inne podatności w NEX-Forms
Zobacz wszystkie- CVE-2026-12142Wysokie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr tablicy '_name[]'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się przy dostępie do zainfekowanej strony.
- CVE-2026-15602Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.4 jest podatna na ogólną iniekcję SQL przez parametr 'additional_params'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora dołączanie dodatkowych zapytań SQL. Jest to podatność drugiego rzędu, wyzwalana podczas eksportu CSV.
- CVE-2026-10525Średnie
Wtyczka NEX-Forms dla WordPressa przed wersją 9.2.3 nie oczyszcza i nie koduje niektórych danych przesłanych z formularza przed ich zapisaniem i wyświetleniem w panelu administracyjnym, co prowadzi do podatności na trwałe Cross-Site Scripting (XSS). Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków XSS na uprzywilejowanych użytkowników, takich jak administratorzy, podczas przeglądania przesłanych wpisów.
- CVE-2026-57668Wysokie
Wtyczka NEX-Forms dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 9.2.2 włącznie.
- CVE-2026-9017Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym nadpisywać pola saved_admin_email, saved_user_email i saved_user_email_address w dowolnych wpisach formularzy innych użytkowników. Atakujący może również wysyłać kontrolowaną przez siebie treść e-mail na wybrane adresy.
- CVE-2026-13040Wysokie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywane ataki XSS przez parametr 'real_val__'. Brak odpowiedniej sanitacji i eskapowania danych wejściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The NEX-Forms – Ultimate Forms Plugin for WordPress plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 9.2.2. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to enumerate sequential report IDs and download complete form submission data — including names, email addresses, phone numbers, postal addresses, payment details, and uploaded file paths — for any saved report on the site.