CVE-2026-15602

Nome do Software Vulnerável e Versões Afetadas NEX-Forms – Ultimate Forms Plugin for WordPress versões anteriores a 9.2.5

Descrição Trata-se de um problema de SQL Injection de segunda ordem, no qual um invasor pode anexar consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. A falha ocorre devido à escape insuficiente de entradas fornecidas pelo usuário e à falta de preparação adequada da consulta SQL. O payload é armazenado através do manipulador AJAX submission report2, que carece de uma verificação de nonce (um token de segurança usado para prevenir falsificação de requisição cross-site) e depende de uma capacidade que pode ser configurada no nível de assinante. A injeção é posteriormente disparada quando uma exportação de CSV é gerada. O parâmetro vulnerável é additional params.

Recomendações Atualize o NEX-Forms – Ultimate Forms Plugin for WordPress para a versão 9.2.5 ou posterior.