CVE-2026-13425

WordPress üçün olan Database for CF7 plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 1.2.6 daxil olmaqla bütün versiyalarda Massiv Form Sahəsi Dəyərləri vasitəsilə Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Bu boşluq autentifikasiya olunmamış hücumçular tərəfindən istismar edilə bilər, çünki Contact Form 7 adi mətn sahələri üçün massiv strukturunda olan girişləri (məsələn, your-name[]) ictimai REST API son nöqtəsi /wp-json/contact-form-7/v1/contact-forms/{id}/feedback vasitəsilə qəbul edir və plagin göndərilmiş məlumatları serialize() funksiyası ilə $wpdb INSERT istifadə edərək xüsusi wp_cf7db cədvəlinə yazır ki, bu da wp_insert_post/wp_kses vasitəsilə WordPress-in yadda saxlamaq zamanı tətbiq etdiyi filtrləməni yan keçir.