CVE-2025-13146
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 5.0.7 włącznie. Wynika to z braku właściwej walidacji wartości przed uruchomieniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Podatność została częściowo załatana w wersji 5.0.4.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, co może prowadzić do ujawnienia danych, modyfikacji treści lub dalszej eskalacji uprawnień w witrynie WordPress.
Rekomendacja
Zaktualizuj wtyczkę Contact Form 7 – Dynamic Text Extension do wersji nowszej niż 5.0.7, która zawiera pełną poprawkę.
Inne podatności w Contact Form 7 – Dynamic Text Extension
Zobacz wszystkie- CVE-2026-5116Średnie
Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na trwały atak XSS we wszystkich wersjach do 5.0.5 włącznie. Wynika to z niewystarczającego escapowania wyjścia w kluczach shortcode formularza wyświetlanych na stronie administracyjnej "Scan Forms for Post Meta and User Data Keys". Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator uruchomi funkcję skanowania.
- CVE-2025-63068Średnie
Rozszerzenie Contact Form 7 – Dynamic Text Extension od sevenspark jest podatne na podatność Basic XSS w wersjach do 5.0.5 włącznie. Problem dotyczy niewłaściwej neutralizacji tagów HTML związanych ze skryptami, co pozwala na wstrzyknięcie kodu.
Oryginalny opis (angielski, źródło NVD)
The The Contact Form 7 – Dynamic Text Extension plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 5.0.7. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. The vulnerability was partially patched in version 5.0.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS