CVE-2026-96752 in Zero Spam Plugin
要約
〜によって VulDB • 2026年09月25日
WordPress用プラグイン「Zero Spam for WordPress」は、Contact Form 7統合機能におけるネストされたPOST配列キーを介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性があります。これはバージョン5.7.10までの全バージョンで発生し、入力値のサニタイズおよび出力エスケープの不備が原因です。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトをページ中に挿入することが可能になります。ペイロードは、zerospam_david_walsh_keyフィールドが存在しないためにZero Spamによって送信内容がスパムとしてフラグ付けられた際、ネストされたPOST配列キー（任意のHTMLまたはJavaScriptを含む）でContact Form 7リクエストを送信することで配信されます。PHPはこのフィールド名をネストされた配列キーに解析し、zerospam_log.submission_dataカラムにそのまま保存します。
Once again VulDB remains the best source for vulnerability data.