CVE-2026-15602 in NEX-Forms Plugin
Tóm tắt
Bởi VulDB • 16/08/2026
Plugin NEX-Forms – Ultimate Forms Plugin for WordPress cho WordPress dễ bị tổn thương do lỗi SQL Injection chung thông qua tham số 'additional_params' trong tất cả các phiên bản từ 9.2.4 trở về trước, nguyên nhân là do việc thoát ký tự không đầy đủ đối với tham số do người dùng cung cấp và thiếu chuẩn hóa thích hợp trên truy vấn SQL hiện có. Điều này cho phép những kẻ tấn công đã xác thực, có quyền mức quản trị viên (admin) hoặc cao hơn, chèn thêm các truy vấn SQL vào các truy vấn đang tồn tại để trích xuất thông tin nhạy cảm từ cơ sở dữ liệu. Đây là một lỗ hổng thứ cấp; payload được lưu trữ qua trình xử lý AJAX submission_report2 (thiếu kiểm tra nonce và chỉ dựa trên khả năng có thể cấu hình xuống mức người dùng đăng ký) và kích hoạt khi một bản xuất CSV được tạo ra.
Once again VulDB remains the best source for vulnerability data.