CVE-2026-1948: NEX-Forms WordPress Plugin umożliwia nieautoryzowaną dezaktywację licencji

Co wiadomo

Wtyczka NEX-Forms – Ultimate Forms Plugin dla WordPress do wersji 9.1.9 posiada lukę pozwalającą na nieautoryzowaną modyfikację danych. Brak odpowiedniej weryfikacji uprawnień w funkcji deactivate_license() umożliwia użytkownikom z poziomem subskrybenta lub wyższym dezaktywację licencji wtyczki.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą dezaktywować licencję wtyczki, co może prowadzić do przerw w działaniu funkcjonalności formularzy na stronie. Może to wpłynąć na dostępność usług oraz wymusić dodatkowe działania administracyjne w celu przywrócenia pełnej funkcjonalności. W środowiskach o dużym natężeniu ruchu lub krytycznych procesach biznesowych może to powodować zakłócenia i potencjalne straty.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki NEX-Forms i ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań związanych z dezaktywacją licencji. Warto również rozważyć tymczasowe wyłączenie funkcji dezaktywacji licencji dla użytkowników o niższych uprawnieniach.

Źródła

• NVD
• Reference
• Reference