CVE-2026-75961

Nome do Software Vulnerável e Versões Afetadas NEX-Forms – Ultimate Forms Plugin for WordPress versões anteriores a 9.3.1

Descrição Existe um problema onde atacantes autenticados com nível de acesso customizado ou superior podem realizar uma Injeção de SQL genérica. Isso ocorre porque o parâmetro additional params não é suficientemente escapado e a consulta SQL não é devidamente preparada. Especificamente, a lista de permissões de operadores usada pela função get table records() ao construir seu fragmento WHERE não é aplicada quando o array additional params é encaminhado para a função get total records(), deixando o sumidouro SQL desprotegido. Isso permite que atacantes anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados.

Recomendações Atualize o NEX-Forms – Ultimate Forms Plugin for WordPress para a versão 9.3.1 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro additional params para usuários com permissões de nível customizado.