CVE-2026-80439

ŚrednieCVSS 4.8

Opublikowano: 06/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 06/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Redirection for Contact Form 7 dla WordPressa od wersji 2.2.7 przed 3.2.11 nie zapobiega wykonywaniu shortcode'ów w przesłanych wartościach formularza, gdy podstawia je do ustawień akcji i przetwarza te ustawienia pod kątem shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie i odczytywanie ich wyników.

Ocena ryzyka

Atakujący może wykonać dowolne shortcode'y, co może prowadzić do ujawnienia danych lub wykonania nieautoryzowanych działań w kontekście witryny.

Rekomendacja

Należy zaktualizować wtyczkę Redirection for Contact Form 7 do wersji 3.2.11 lub nowszej.

Inne podatności w Redirection for Contact Form 7 WordPress plugin

CVE-2026-120659Średnie
Wtyczka Redirection for Contact Form 7 dla WordPressa (wersje do 3.2.14) ma podatność na obejście autoryzacji, ponieważ nie weryfikuje uprawnień użytkownika do wykonania akcji. Nieuwierzytelniony atakujący może zapisywać dowolne wartości meta w nowo utworzonych postach leadów oraz kopiować pliki serwerowe o dozwolonych rozszerzeniach MIME do katalogu uploads wtyczki.

Oryginalny opis (angielski, źródło NVD)

The Redirection for Contact Form 7 WordPress plugin from 2.2.7 before 3.2.11 does not prevent shortcodes in submitted form values from being executed when it substitutes those values into an action's settings and then processes those settings for shortcodes, allowing unauthenticated users to run any shortcode registered on the site and read its output.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS