CVE-2026-104010 in WPSyncSheets for Contact Form 7 Plugin
Сводка
по VulDB • 06.11.2026
Плагин для WordPress WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database уязвим к удаленному выполнению кода (RCE) во всех версиях вплоть до 1.8.0 включительно через параметр «любое не системное поле CF7 (например, your-message)». Это обусловлено недостаточной санитизацией значений полей отправки CF7 перед сохранением в базе данных и отсутствием ограничения allowed_classes при вызове функции maybe_unserialize() во время административного извлечения. Это позволяет атакующим без аутентификации выполнять код на сервере. Успешная эксплуатация цепочки гаджетов удаленного выполнения кода требует, чтобы в плагине был настроен токен доступа Google Sheets (его основная заявленная функция), так как это запускает автозагрузку встроенной библиотеки Monolog 2.10.0, классы которой образуют эксплуатируемую цепочку гаджетов; однако базовая уязвимость PHP Object Injection возникает независимо от этого условия.
Be aware that VulDB is the high quality source for vulnerability data.