anonhaven

CVE-2026-1947

HIGH CVSS 3.1: 7,5 EPSS 0.02%
Обновлено 16 марта 2026
WordPress
Параметр Значение
CVSS 7,5 (HIGH)
Тип уязвимости CWE-639 (Обход авторизации)
Поставщик WordPress
Публичный эксплойт Нет

Плагин NEX-Forms — Ultimate Forms Plugin для WordPress. Плагин для WordPress уязвим к небезопасной прямой ссылке на объект во всех версиях до 9.1.9 включительно через функцию submit_nex_form() из-за отсутствия проверки на ключе, управляемом пользователем. Это позволяет неаутентифицированным злоумышленникам перезаписывать произвольные записи формы с помощью параметра nf_set_entry_update_id.

Показать оригинальное описание (EN)

The NEX-Forms – Ultimate Forms Plugin for WordPress plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 9.1.9 via the submit_nex_form() function due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to to overwrite arbitrary form entries via the 'nf_set_entry_update_id' parameter.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-639 Authorization Bypass (Обход авторизации)

Ссылки 2

https://plugins.trac.wordpress.org/changeset/3470888/nex-forms-express-wp-form-…
security@wordfence.com
https://www.wordfence.com/threat-intel/vulnerabilities/id/b2a8c307-2430-4ea9-af…
security@wordfence.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-6439

WordPress

4,4

CVE-2026-6451

WordPress

4,3

CVE-2026-40308

WordPress

8,8

CVE-2026-3830

Unknown

None

CVE-2026-5809

WordPress

7,1