CVE-2026-13040

Nome do Software Vulnerável e Versões Afetadas NEX-Forms – Ultimate Forms Plugin for WordPress versões anteriores a 9.2.3

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Atacantes podem injetar scripts web arbitrários através do parâmetro real val , que são executados quando um usuário acessa a página afetada. O endpoint de submissão wp ajax nopriv submit nex form não possui verificação de nonce, permitindo o acesso sem um token Cross-Site Request Forgery (CSRF).

Recomendações Atualize para uma versão posterior a 9.2.2. Evite usar o parâmetro real val no endpoint wp ajax nopriv submit nex form até que a atualização seja aplicada.