CVE-2026-9017
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym nadpisywać pola saved_admin_email, saved_user_email i saved_user_email_address w dowolnych wpisach formularzy innych użytkowników. Atakujący może również wysyłać kontrolowaną przez siebie treść e-mail na wybrane adresy.
Ocena ryzyka
Organizacja narażona jest na kradzież danych lub phishing, ponieważ atakujący może podmienić adresy e-mail w formularzach i wysyłać fałszywe wiadomości do klientów lub administratorów, co może prowadzić do wycieku danych lub naruszenia zaufania.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę NEX-Forms do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę do czasu wydania poprawki.
Inne podatności w NEX-Forms
Zobacz wszystkie- CVE-2026-12142Wysokie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr tablicy '_name[]'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się przy dostępie do zainfekowanej strony.
- CVE-2026-15602Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.4 jest podatna na ogólną iniekcję SQL przez parametr 'additional_params'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora dołączanie dodatkowych zapytań SQL. Jest to podatność drugiego rzędu, wyzwalana podczas eksportu CSV.
- CVE-2026-10525Średnie
Wtyczka NEX-Forms dla WordPressa przed wersją 9.2.3 nie oczyszcza i nie koduje niektórych danych przesłanych z formularza przed ich zapisaniem i wyświetleniem w panelu administracyjnym, co prowadzi do podatności na trwałe Cross-Site Scripting (XSS). Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków XSS na uprzywilejowanych użytkowników, takich jak administratorzy, podczas przeglądania przesłanych wpisów.
- CVE-2026-57668Wysokie
Wtyczka NEX-Forms dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 9.2.2 włącznie.
- CVE-2026-13040Wysokie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie jest podatna na przechowywane ataki XSS przez parametr 'real_val__'. Brak odpowiedniej sanitacji i eskapowania danych wejściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-12404Średnie
Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera podatność na pominięcie autoryzacji. Niezalogowani atakujący mogą wyliczyć sekwencyjne identyfikatory raportów i pobrać pełne dane przesłanych formularzy, w tym nazwiska, adresy e-mail, numery telefonów, adresy pocztowe, dane płatności i ścieżki przesłanych plików.
Oryginalny opis (angielski, źródło NVD)
The NEX-Forms – Ultimate Forms Plugin for WordPress plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 9.2.2. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to overwrite the saved_admin_email, saved_user_email, and saved_user_email_address fields of arbitrary form entries belonging to other users, and cause the site to dispatch attacker-controlled email content to attacker-chosen recipient addresses.