CVE-2026-13425 in Database for CF7 Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das Plugin „Database for CF7“ für WordPress ist in allen Versionen bis einschließlich 1.2.6 anfällig für Stored Cross-Site Scripting (XSS) über Array-Formularfeldwerte, aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Diese Schwachstelle kann von nicht authentifizierten Angreifern ausgenutzt werden, da Contact Form 7 über den öffentlichen REST-API-Endpunkt /wp-json/contact-form-7/v1/contact-forms/{id}/feedback array-strukturierte Eingaben für normale Textfelder (z. B. your-name[]) akzeptiert und das Plugin die eingereichten Daten mit $wpdb INSERT unter Verwendung von serialize() in einer benutzerdefinierten wp_cf7db-Tabelle speichert, wodurch WordPress-Filterung zum Zeitpunkt des Speicherns über wp_insert_post/wp_kses umgangen wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.