CVE-2025-15510: NEX-Forms dla WordPress umożliwia nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka NEX-Forms – Ultimate Forms dla WordPress do wersji 9.1.8 posiada lukę umożliwiającą nieautoryzowanym użytkownikom eksport konfiguracji formularzy. Atakujący mogą uzyskać dostęp do wrażliwych danych, takich jak adresy e-mail, dane API PayPal oraz klucze integracji zewnętrznych, poprzez manipulację parametrem nex_forms_Id.

Wpływ biznesowy

Luka ta stwarza ryzyko wycieku poufnych informacji przechowywanych w konfiguracjach formularzy, co może prowadzić do naruszenia prywatności użytkowników i potencjalnych strat finansowych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa danych i reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki NEX-Forms i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do funkcji eksportu formularzy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt uprawnień użytkowników i zabezpieczyć dane wrażliwe.

Źródła

• NVD
• Reference
• Reference