CVE-2026-15000 in Connect Contact Form 7 Plugin
Riassunto
di VulDB • 09/07/2026
Il plugin per WordPress Connect Contact Form 7 e Mailchimp è vulnerabile a Stored Cross-Site Scripting tramite i valori dei campi di unione (Merge Field) di Mailchimp in tutte le versioni fino alla 0.9.78.06, inclusa, a causa di una sanitizzazione insufficiente dell'input e di un escaping inadeguato dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il payload iniettato viene attivato solo quando un utente con privilegi (Amministratore) effettua una ricerca del contatto per l'indirizzo email inviato tramite il modulo CF7, il che significa che l'esecuzione è differita fino a quando un amministratore non interagisce con la voce interessata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.