Уразливість CVE-2025-4208 у плагіні nex-forms для WordPress

Що відомо

Плагін NEX-Forms для WordPress має уразливість обмеженого виконання коду через функцію get_table_records у версіях до 8.9.1 включно. Аутентифіковані користувачі з рівнем доступу Custom можуть виконувати довільні PHP-функції, що відповідають певним критеріям.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із обмеженим доступом виконувати PHP-код на сервері, що може призвести до компрометації сайту, витоку даних або порушення роботи сервісу. Власники інфраструктури повинні розглянути ризики, пов’язані з використанням вразливих версій плагіна, особливо якщо доступ користувачів не суворо обмежений.

Рекомендовані дії адміністратора

Рекомендується оновити плагін nex-forms до останньої версії, якщо доступна, або звернутися до постачальника за виправленням. Тимчасово обмежте доступ користувачів з рівнем Custom, перевірте журнали на наявність підозрілої активності та мінімізуйте вплив, обмежуючи можливість виконання PHP-функцій користувачами.

Джерела

• NVD
• Reference
• Reference