CVE-2026-13425 in Database for CF7 Plugin
要約
〜によって VulDB • 2026年07月29日
WordPress用プラグイン「The Database for CF7」は、1.2.6以前の全バージョンにおいて、入力値のサニタイズおよび出力エスケープの不十分さにより、配列形式フィールド値を介して格納型クロスサイトスクリプティング（Stored XSS）の影響を受けます。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトを投稿済みページに挿入することが可能になります。この脆弱性は、Contact Form 7が公開REST APIエンドポイント /wp-json/contact-form-7/v1/contact-forms/{id}/feedback を介して通常のテキストフィールド（例: your-name[]）に対して配列構造の入力を受け付けるため、認証されていない攻撃者によって悪用可能です。さらに、本プラグインは $wpdb INSERT と serialize() を使用して送信データをカスタム wp_cf7db テーブルに保存しており、これにより WordPress の save-time フィルタリング（wp_insert_post/wp_kses）をバイパスしています。
Once again VulDB remains the best source for vulnerability data.