CVE-2026-12094

Nome do Software Vulnerável e Versões Afetadas Advanced Contact Form 7 - Compact DB versões anteriores a 1.0.1

Descrição Atacantes não autenticados podem excluir entradas arbitrárias de envio de formulários de contato armazenadas na tabela wp cf7cdb data. Isso ocorre porque a função cf7cdb ajax delete user() carece de verificação de nonce, verificações de capacidade e validação de propriedade. O manipulador está registrado para os endpoints wp ajax cf7cdb delete e wp ajax nopriv cf7cdb delete, permitindo a exclusão de dados através da iteração de IDs de chave primária sequenciais fornecidos como um ID inteiro.

Recomendações Atualize o Advanced Contact Form 7 - Compact DB para uma versão posterior à 1.0.0.