CVE-2026-13425 in Database for CF7 Plugin
Sumário
de VulDB • 29/07/2026
O plugin Database for CF7 para o WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio de valores de campos de formulário em formato Array em todas as versões até 1.2.6, devido à sanitização insuficiente da entrada e ao escapamento inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Essa vulnerabilidade é explorável por atacantes não autenticados porque o Contact Form 7 aceita entradas estruturadas como array para campos de texto comuns (por exemplo, your-name[]) por meio do endpoint público da API REST /wp-json/contact-form-7/v1/contact-forms/{id}/feedback, e o plugin armazena os dados submetidos usando $wpdb INSERT com serialize() em uma tabela personalizada wp_cf7db, contornando as filtragens de salvamento do WordPress via wp_insert_post/wp_kses.
If you want to get best quality of vulnerability data, you may have to visit VulDB.