Vulnerabilidad de Stored Cross-Site Scripting en NEX-Forms via Content-Type Header (CVE-2026-96767)

El plugin NEX-Forms – Ultimate Forms Plugin for WordPress (desarrollado por webaways) es vulnerable a Cross-Site Scripting (XSS) Almacenado (Stored XSS) en versiones hasta la 9.3.2 inclusive. La falla se debe a una sanitización de entradas y un escape de salidas insuficientes al procesar la cabecera Content-Type. Esto permite que atacantes remotos no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan cada vez que un usuario accede a la página comprometida.

Vector de Ataque: acceso remoto vía red sin necesidad de autenticación ni interacción previa del usuario. Un atacante envía una solicitud HTTP inyectando un payload malicioso en la cabecera Content-Type, el cual es almacenado de forma persistente por el plugin sin el filtrado adecuado.

Impacto: baja confidencialidad e Integridad . Ejecución persistente de scripts arbitrarios en el navegador de los usuarios o administradores, permitiendo el robo de sesiones, redirecciones maliciosas o acciones no autorizadas en el sitio.

Parches y Actualizaciones: actualizar inmediatamente el plugin NEX-Forms a la versión 9.3.3 o superior a través del panel de administración de WordPress.

Mitigaciones Temporales: desplegar reglas en el Firewall de Aplicaciones Web (WAF) para inspeccionar y sanitizar/bloquear cabeceras Content-Type que contengan caracteres o etiquetas de scripting (<script>, metacharacters).

Buenas Prácticas: auditar y sanear periódicamente la base de datos de WordPress. Mantener activadas las actualizaciones automáticas para plugins de formularios con alta exposición a la red.

https://nvd.nist.gov/vuln/detail/cve-2026-96767