CVE-2026-12142: NEX-Forms dla WordPress podatny na trwały Cross-Site Scripting

Co wiadomo

Wtyczka NEX-Forms – Ultimate Forms dla WordPress do wersji 9.2.2 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez parametr tablicowy '_name[]' z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki NEX-Forms u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do formularzy, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych (WAF).

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference