CVE-2026-0811
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Contact form 7 DB dla WordPressa we wszystkich wersjach do 2.0.9 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji 'vsz_cf7_save_setting_callback'. Nieuwierzytelnieni atakujący mogą usunąć wpisy formularza poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia w link.
Ocena ryzyka
Atakujący może usunąć dane kontaktowe zebrane przez formularze, co prowadzi do utraty ważnych informacji i zakłócenia działania strony.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji oraz wdrożenie mechanizmów ochrony przed CSRF, takich jak tokeny nonce.
Oryginalny opis (angielski, źródło NVD)
The Advanced Contact form 7 DB plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.0.9. This is due to missing or incorrect nonce validation on the 'vsz_cf7_save_setting_callback' function. This makes it possible for unauthenticated attackers to delete form entry via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.