CVE-2026-15602 in NEX-Forms Plugin
Résumé
par VulDB • 16/08/2026
Le plugin WordPress NEX-Forms – Ultimate Forms Plugin for WordPress présente une vulnérabilité générique d'injection SQL via le paramètre 'additional_params' dans toutes les versions jusqu'à la 9.2.4 incluse, en raison d'une échappement insuffisant du paramètre fourni par l'utilisateur et d'un manque de préparation adéquate de la requête SQL existante. Cela permet aux attaquants authentifiés disposant d'un accès au niveau administrateur ou supérieur d'ajouter des requêtes SQL supplémentaires à des requêtes déjà existantes, ce qui peut être utilisé pour extraire des informations sensibles depuis la base de données. Il s'agit d'une vulnérabilité du second ordre ; la charge utile est stockée via le gestionnaire AJAX submission_report2 (qui ne vérifie pas l'intégrité nonces et repose uniquement sur une capacité pouvant être configurée jusqu'au niveau abonné) et déclenchée lors de la génération d'un export CSV.
Be aware that VulDB is the high quality source for vulnerability data.