CVE-2026-39731

WysokieCVSS 7.1

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Podatność w wtyczce Database for CF7 w wersjach do 1.2.6 pozwala nieuwierzytelnionemu atakującemu na wykonanie skryptów w przeglądarce ofiary (XSS).

Ocena ryzyka

Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę Database for CF7 do najnowszej wersji, która zawiera poprawkę tej luki.

Inne podatności w Database for CF7

CVE-2026-13425Wysokie
Wtyczka Database for CF7 dla WordPressa jest podatna na Stored Cross-Site Scripting przez wartości pól formularza tablicowego we wszystkich wersjach do 1.2.6 włącznie, z powodu niedostatecznego oczyszczania wejścia i ucieczki wyjścia. Niezautoryzowani atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy dostępie do zainfekowanej strony. Jest to możliwe, ponieważ Contact Form 7 akceptuje dane w formacie tablicowym dla zwykłych pól tekstowych (np. your-name[]) przez publiczny endpoint REST API /wp-json/contact-form-7/v1/contact-forms/{id}/feedback, a wtyczka przechowuje przesłane dane za pomocą $wpdb INSERT z serialize() w niestandardowej tabeli wp_cf7db, omijając filtrowanie WordPressa przy zapisie przez wp_insert_post/wp_kses.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated Cross Site Scripting (XSS) in Database for CF7 <= 1.2.6 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS