Podatności Database for Contact Form 7, WPforms, Elementor forms

Podatność SQL Injection w wtyczce WordPress 'Database for Contact Form 7, WPforms, Elementor forms' przed wersją 1.5.5. Parametr nie jest odpowiednio sanityzowany i escapowany przed użyciem w zapytaniu SQL, co umożliwia atak użytkownikom z określoną rolą (domyślnie administratorzy, ale może być delegowana).

Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.3 nieprawidłowo oczyszcza i escapuje parametr przed odbiciem go na stronie administracyjnej. Prowadzi to do Refleksyjnego Cross-Site Scripting (XSS), które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.2 nie ogranicza dozwolonych klas PHP podczas deserializacji wartości pola formularza dostarczonej przez atakującego. Umożliwia to niezautoryzowanym użytkownikom wstrzyknięcie dowolnych obiektów PHP, które są tworzone, gdy administrator przegląda zapisane zgłoszenie. Jest to niekompletne załatanie podatności CVE-2025-7384 i CVE-2026-2599, gdzie zabezpieczono ścieżki deserializacji, ale pominięto ścieżkę pola pliku w edytorze zgłoszeń.

Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa do wersji 1.5.1 zawiera podatność na dowolne kopiowanie plików. Funkcja create_entry_el() przekazuje wartość raw_value z obiektu Form_Record Elementor Pro bezpośrednio do funkcji copy() bez walidacji, co pozwala atakującemu na skopiowanie dowolnego pliku z serwera lub z zewnętrznego URL.