CVE-2026-13425
Açıklama
WordPress için Database for CF7 eklentisi, 1.2.6 ve öncesindeki tüm sürümlerde yetersiz girdi temizleme ve çıktı kaçışı nedeniyle Array Form Field Values aracılığıyla Kalıcı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, kimlik doğrulaması yapmamış saldırganların, bir kullanıcı enjekte edilmiş bir sayfaya eriştiğinde çalışacak rastgele web betiklerini sayfalara enjekte etmesini mümkün kılar. Bu, kimlik doğrulaması yapmamış saldırganlar tarafından istismar edilebilir çünkü Contact Form 7, genel REST API uç noktası /wp-json/contact-form-7/v1/contact-forms/{id}/feedback aracılığıyla sıradan metin alanları için (ör. your-name[]) dizi yapılı girdi kabul eder ve eklenti, gönderilen verileri özel wp_cf7db tablosuna serialize() ile $wpdb INSERT kullanarak depolar ve wp_insert_post/wp_kses aracılığıyla WordPress'in kayıt zamanı filtrelemesini atlar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| code4life Database for CF7 | v ≤ 1.2.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.