CVE-2026-13040

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr tablicy '_name[]'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się przy dostępie do zainfekowanej strony.

Podatność Reflected Cross-Site Scripting (XSS) w wtyczce NEX-Forms (nex-forms-express-wp-form-builder) dla WordPressa, występująca w wersjach do 9.3.1 włącznie, pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka NEX-Forms – Ultimate Forms Plugin dla WordPress jest podatna na ogólną SQL Injection poprzez parametr 'additional_params' we wszystkich wersjach do 9.3.0 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z niestandardowymi uprawnieniami mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.4 jest podatna na ogólną iniekcję SQL przez parametr 'additional_params'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora dołączanie dodatkowych zapytań SQL. Jest to podatność drugiego rzędu, wyzwalana podczas eksportu CSV.

Wtyczka NEX-Forms dla WordPressa przed wersją 9.2.3 nie oczyszcza i nie koduje niektórych danych przesłanych z formularza przed ich zapisaniem i wyświetleniem w panelu administracyjnym, co prowadzi do podatności na trwałe Cross-Site Scripting (XSS). Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków XSS na uprzywilejowanych użytkowników, takich jak administratorzy, podczas przeglądania przesłanych wpisów.

Wtyczka NEX-Forms dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 9.2.2 włącznie.

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym nadpisywać pola saved_admin_email, saved_user_email i saved_user_email_address w dowolnych wpisach formularzy innych użytkowników. Atakujący może również wysyłać kontrolowaną przez siebie treść e-mail na wybrane adresy.

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera podatność na pominięcie autoryzacji. Niezalogowani atakujący mogą wyliczyć sekwencyjne identyfikatory raportów i pobrać pełne dane przesłanych formularzy, w tym nazwiska, adresy e-mail, numery telefonów, adresy pocztowe, dane płatności i ścieżki przesłanych plików.

Wtyczka NEX-Forms – Ultimate Forms Plugin dla WordPressa (wszystkie wersje do 9.1.6 włącznie) ma podatność na wstrzykiwanie SQL przez parametr 'orderby' w akcji nf_load_form_entries. Uwierzytelnieni atakujący z dostępem na poziomie Administratora i wyższym mogą dodać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych. Niżsi użytkownicy mogą to wykorzystać, jeśli administrator nada im dostęp.