CVE-2026-0825

Nome do Software Vulnerável e Versões Afetadas O Banco de Dados para Contact Form 7, WPForms e Elementor Forms plugin para WordPress, versões até e incluindo 1.4.5

Descrição O plugin apresenta um bypass de autorização devido à falta de verificações de capacidades na funcionalidade de exportação CSV. Isso permite que atacantes não autenticados baixem dados sensíveis de submissão de formulários, incluindo informações de identificação pessoal (PII), ao acessarem o endpoint de exportação CSV. A chave de exportação necessária para esse acesso está exposta no código-fonte da página publicamente acessível. O manipulador de exportação CSV contorna o filtro de permissões do usuário, exportando todas as entradas independentemente dos papéis dos usuários.

Recomendações As versões anteriores à 1.4.5 devem ser atualizadas.