Taichi Kashimura

**Nome do Software Vulnerável e Versões Afetadas** NEX-Forms – Ultimate Forms Plugin for WordPress versões anteriores a 9.2.3 **Descrição** A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Atacantes podem injetar scripts web arbitrários através do parâmetro `real val `, que são executados quando um usuário acessa a página afetada. O endpoint de submissão `wp ajax nopriv submit nex form` não possui verificação de nonce, permitindo o acesso sem um token Cross-Site Request Forgery (CSRF). **Recomendações** Atualize para uma versão posterior a 9.2.2. Evite usar o parâmetro `real val ` no endpoint `wp ajax nopriv submit nex form` até que a atualização seja aplicada.