CVE-2026-6709

Nome do Software Vulnerável e Versões Afetadas Coinbase Commerce for Contact Form 7 versões anteriores a 1.1.3

Descrição O plugin apresenta uma falha de autorização ausente causada pela falta de verificações de capacidade e de verificação de nonce (um token único usado para prevenir falsificação de requisição cross-site) na função save settings(), que está registrada no hook admin post cccf7 save settings. Isso permite que usuários autenticados com nível de acesso Assinante (Subscriber) ou superior sobrescrevam a variável cccf7 api key por meio de uma requisição POST manipulada para o endpoint '/wp-admin/admin-post'.

Recomendações Atualize o plugin para uma versão posterior a 1.1.2.