CVE-2025-3468: luka Stored Cross-Site Scripting w wtyczce NEX-Forms dla WordPress

Co wiadomo

Wtyczka NEX-Forms – Ultimate Form Builder dla WordPress do wersji 8.9.1 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i ucieczki danych w parametrach clean_html i form_fields. Umożliwia to uwierzytelnionym użytkownikom z poziomem dostępu Custom wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności stron internetowych opartych na WordPress z zainstalowaną wtyczką NEX-Forms. Atakujący mogą wykorzystać ją do kradzieży danych sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania, co negatywnie wpływa na reputację i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki NEX-Forms u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji wymagających poziomu Custom, monitoruj logi aplikacji pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i ochrony przed XSS. Priorytetowo traktuj ocenę ryzyka i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference