Fuente base de datos: Wordfence Intelligence

NEX-Forms – Ultimate Form Builder – Contact forms and much more <= 8.9.1 - Authenticated (Custom) Limited Code Execution via get_table_records Function en NEX Forms Express WP Form Builder (vulnerabilidad) - version 8.9.2

PLUGIN MEDIUM CVE-2025-4208

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución de código limitado en el plugin NEX-Forms – Ultimate Form Builder, que afecta a las versiones hasta la 8.9.1. Esta vulnerabilidad, catalogada con una severidad media, puede ser explotada por usuarios autenticados.

Contexto técnico

El fallo se origina en la función get_table_records, que permite la ejecución de código personalizado de forma no controlada. Esto expone a la superficie de ataque a cualquier usuario autenticado que pueda interactuar con esta función, permitiendo la ejecución de comandos no autorizados.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos y la seguridad del sitio web, permitiendo a un atacante ejecutar código malicioso. Esto podría resultar en la pérdida de datos, alteraciones en la funcionalidad del sitio y posibles brechas de seguridad más amplias.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la autenticación en el sistema y la manipulación de las solicitudes a la función vulnerable, lo que les permite ejecutar código no autorizado sin necesidad de un acceso administrativo completo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 8.9.2 o superior. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la limitación de accesos y la implementación de firewalls.

Señales de detección

Señales de posible explotación incluyen actividades inusuales en los registros de acceso, intentos de ejecución de comandos a través de la función get_table_records y cambios inesperados en los datos del formulario.

Alcance afectado

Las versiones del plugin NEX-Forms hasta la 8.9.1 están afectadas por esta vulnerabilidad. Se recomienda a los usuarios que verifiquen la versión instalada y realicen las actualizaciones necesarias.