CVE-2026-5116
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na trwały atak XSS we wszystkich wersjach do 5.0.5 włącznie. Wynika to z niewystarczającego escapowania wyjścia w kluczach shortcode formularza wyświetlanych na stronie administracyjnej "Scan Forms for Post Meta and User Data Keys". Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator uruchomi funkcję skanowania.
Ocena ryzyka
Ryzyko polega na przejęciu sesji administratora lub wykonaniu nieautoryzowanych działań w kontekście administratora, co może prowadzić do pełnej kompromitacji witryny WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę. Ponadto należy ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych użytkowników.
Inne podatności w Contact Form 7 – Dynamic Text Extension
Zobacz wszystkie- CVE-2025-13146Średnie
Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 5.0.7 włącznie. Wynika to z braku właściwej walidacji wartości przed uruchomieniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Podatność została częściowo załatana w wersji 5.0.4.
- CVE-2025-63068Średnie
Rozszerzenie Contact Form 7 – Dynamic Text Extension od sevenspark jest podatne na podatność Basic XSS w wersjach do 5.0.5 włącznie. Problem dotyczy niewłaściwej neutralizacji tagów HTML związanych ze skryptami, co pozwala na wstrzyknięcie kodu.
Oryginalny opis (angielski, źródło NVD)
The Contact Form 7 – Dynamic Text Extension plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 5.0.5. This is due to insufficient output escaping on form shortcode keys displayed in the admin "Scan Forms for Post Meta and User Data Keys" page. This makes it possible for authenticated attackers, with Editor-level access and above, to inject arbitrary web scripts that execute when an Administrator runs the scan feature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS