CVE-2026-75018

WordPress için geliştirilen Custom Contact Forms eklentisi, 7.16 sürümü dahil olmak üzere tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum; katkıda bulunan (contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, herhangi bir yazı türündeki (sayfalar, yönetici tarafından yazılmış yazılar ve WooCommerce ürünleri dahil) rastgele yazıları kalıcı olarak zorla silmelerini ve sahiplik veya yazı türüne bakılmaksızın herhangi bir yazıya rastgele ccf_field_* yazı meta verileri yazmalarını mümkün kılmaktadır. Üst düzey form ID'si edit_post/publish_posts aracılığıyla kontrol edilmektedir ancak _create_and_map_fields() ve _create_and_map_choices() tarafından işlenen iç içe geçmiş fields[].ID ve choices[].ID yolları eşdeğer bir yetenek veya yazı türü korumasına sahip değildir; bu da söz konusu sink noktalarını tamamen savunmasız bırakırken, delete_item() ve delete_submission() fonksiyonlarının açık yazı türü kısıtlama düzeltmeleri içermesi geliştiricinin kapsam gereksinimlerinin farkında olduğunu göstermektedir.