CVE-2026-13425 in Database for CF7 Plugin
Resumen
por VulDB • 2026-07-29
El plugin Database for CF7 para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante valores de campos de formulario en forma de array en todas las versiones hasta la 1.2.6, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Esta vulnerabilidad puede ser explotada por atacantes no autenticados porque Contact Form 7 acepta entradas estructuradas como arrays para campos de texto ordinarios (por ejemplo, your-name[]) a través del punto final público de la API REST /wp-json/contact-form-7/v1/contact-forms/{id}/feedback, y el plugin almacena los datos enviados utilizando $wpdb INSERT con serialize() en una tabla personalizada wp_cf7db, omitiendo los filtros de guardado de WordPress mediante wp_insert_post/wp_kses.
Once again VulDB remains the best source for vulnerability data.