PT-2025-41642 · WordPress · Nex-Forms – Ultimate Forms Plugin For Wordpress

Đức Tài + 1 · Publicado 2025-10-11 · Atualizado 2025-10-11 · CVE-2025-10185

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas NEX-Forms – Ultimate Forms Plugin para WordPress versões até a 9.1.6

Descrição O software está suscetível a Injeção de SQL através do parâmetro orderby dentro da ação nf load form entries. A sanitização de entrada insuficiente e a preparação inadequada de consultas SQL permitem que atacantes autenticados com acesso de nível de Administrador ou superior injetem consultas SQL adicionais, potencialmente extraindo informações sensíveis do banco de dados. Usuários com privilégios inferiores também podem ser capazes de explorar esta vulnerabilidade se tiverem acesso concedido por um administrador do site.

Recomendações Atualize o NEX-Forms – Ultimate Forms Plugin para WordPress para uma versão posterior à 9.1.6.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-10185

Produtos afetados

Nex-Forms – Ultimate Forms Plugin For Wordpress

Referências · 7

• https://twitter.com/VulmonFeeds/status/1976998889510027518 · Publicação no Twitter
• https://t.me/cveNotify/138319 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/e68d47e7-9a42-4a77-aefa-fe130500cbd3?source=cve · Nota
• https://twitter.com/CVEnew/status/1976914832432501180 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3365585/nex-forms-express-wp-form-builder/trunk/includes/classes/class.db.php · Nota
• https://plugins.svn.wordpress.org/nex-forms-express-wp-form-builder/tags/9.1.4/includes/classes/class.db.php#2527 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-10185 · Nota de Segurança