CVE-2026-13425 in Database for CF7 Plugin
요약
\~에 의해 VulDB • 2026. 07. 29.
WordPress용 CF7 Database 플러그인은 모든 버전(최신 1.2.6 포함)에서 부적절한 입력 정제 및 출력 이스케이프 처리로 인해 배열 폼 필드 값을 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이로 인해 인증되지 않은 공격자가 삽입된 페이지에 사용자가 접근할 때마다 실행되는 임의의 웹 스크립트를 해당 페이지에 주입할 수 있습니다. 이 취약점은 Contact Form 7이 공개 REST API 엔드포인트 /wp-json/contact-form-7/v1/contact-forms/{id}/feedback를 통해 일반 텍스트 필드에 대해 배열 구조화된 입력(예: your-name[])을 허용하고, 플러그인이 wp_insert_post/wp_kses를 통한 WordPress의 저장 시 필터링을 우회하여 serialize()와 함께 $wpdb INSERT를 사용하여 제출된 데이터를 사용자 정의 wp_cf7db 테이블에 저장하기 때문에 인증되지 않은 공격자에게 악용될 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.