CVE-2026-18594
ŚrednieCVSS 4.3Streszczenie
Wtyczka Advanced Contact form 7 DB dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 2.1.3 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik ma uprawnienia do wykonania akcji, co pozwala uwierzytelnionym atakującym z uprawnieniami custom-level lub wyższymi importować sfałszowane rekordy CSV do dowolnego formularza Contact Form 7.
Ocena ryzyka
Atakujący może wstrzyknąć fałszywe dane zgłoszeń do formularzy, co może prowadzić do zatrucia danych, spamu lub manipulacji procesami biznesowymi opartymi na formularzach.
Rekomendacja
Zaktualizuj wtyczkę Advanced Contact form 7 DB do wersji nowszej niż 2.1.3. Do czasu aktualizacji ogranicz dostęp do funkcji importu i weryfikuj uprawnienia użytkowników.
Inne podatności w Advanced Contact form 7 DB
Zobacz wszystkie- CVE-2026-57669Średnie
Wtyczka Advanced Contact form 7 DB w wersji 2.0.9 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Osoba z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla administratorów.
- CVE-2026-0814Średnie
Wtyczka Advanced Contact form 7 DB dla WordPressa do wersji 2.0.9 włącznie nie sprawdza odpowiednich uprawnień w funkcji 'vsz_cf7_export_to_excel'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym eksportowanie zgłoszeń formularzy do pliku Excel.
Oryginalny opis (angielski, źródło NVD)
The Advanced Contact form 7 DB plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.1.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with custom-level access and above, to import forged CSV submission records into any Contact Form 7 form managed by the plugin.