Podatności Contact Form 7 – Dynamic Text Extension

Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na trwały atak XSS we wszystkich wersjach do 5.0.5 włącznie. Wynika to z niewystarczającego escapowania wyjścia w kluczach shortcode formularza wyświetlanych na stronie administracyjnej "Scan Forms for Post Meta and User Data Keys". Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator uruchomi funkcję skanowania.

Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 5.0.7 włącznie. Wynika to z braku właściwej walidacji wartości przed uruchomieniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Podatność została częściowo załatana w wersji 5.0.4.

Rozszerzenie Contact Form 7 – Dynamic Text Extension od sevenspark jest podatne na podatność Basic XSS w wersjach do 5.0.5 włącznie. Problem dotyczy niewłaściwej neutralizacji tagów HTML związanych ze skryptami, co pozwala na wstrzyknięcie kodu.