CVE-2026-6455
WysokieStreszczenie
Wtyczka WP Contact Form 7 DB Handler dla WordPressa jest podatna na atak Cross-Site Request Forgery, co prowadzi do usunięcia dowolnych plików poprzez SQL Injection i PHP Object Injection w wersjach do 3.0 włącznie. Problem wynika z braku weryfikacji nonce w funkcji process_bulk_action().
Ocena ryzyka
Atakujący może wykorzystać tę podatność do usunięcia plików z serwera, co może prowadzić do utraty danych i poważnych zakłóceń w działaniu aplikacji. W szczególności, administratorzy mogą być narażeni na nieautoryzowane działania.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczeń, takie jak weryfikacja nonce w każdym przypadku, gdy jest to wymagane.
Oryginalny opis (angielski, źródło NVD)
The WP Contact Form 7 DB Handler plugin for WordPress is vulnerable to Cross-Site Request Forgery leading to Arbitrary File Deletion via SQL Injection and PHP Object Injection in versions up to and including 3.0. This is due to a missing nonce verification in the process_bulk_action() function, the nonce check is only executed when _wpnonce is present in the POST body, allowing it to be trivially bypassed by omitting the field, combined with the use of an unsanitized, unparameterized user-supplied value in a numeric SQL context (WHERE ID = $ID) and the unsafe deserialization of the query result's post_content field. An attacker can craft a CSRF page that tricks a logged-in administrator into triggering a UNION-based SQL injection payload (using CHAR() to avoid esc_sql quote-escaping) that returns a malicious serialized PHP array as post_content; upon deserialization, array values associated with keys containing 'ys_cfdbh_file' are used as file paths appended to the uploads directory pa