PT-2026-36681 · WordPress · Nex-Forms

Naoya Takahashi · Publicado 2026-05-03 · Atualizado 2026-05-03 · CVE-2026-5063

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas NEX-Forms – Ultimate Forms Plugin for WordPress versões anteriores a 9.1.12

Descrição A sanitização de entrada e a escape de saída insuficientes na função submit nex form() permitem que atacantes não autenticados injetem scripts web arbitrários por meio de nomes de parâmetros POST. Esses scripts são executados sempre que um usuário acessa uma página afetada. Trata-se de um problema de Cross-Site Scripting Armazenado, onde scripts maliciosos são armazenados permanentemente no servidor alvo.

Recomendações Atualize o plugin para uma versão posterior a 9.1.11. Como medida paliativa temporária, restrinja o acesso à função submit nex form() para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-5063

Produtos afetados

Nex-Forms

Referências · 7

• https://t.me/CVEtracker/52558 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2050832587417878730 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-5063 · Nota de Segurança
• https://t.me/cveNotify/161910 · Publicação no Telegram
• https://twitter.com/vuldb/status/2051050312681820387 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3513524/nex-forms-express-wp-form-builder · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/9bac82ee-55bf-4381-b441-115a675e4834?source=cve · Nota