CVE-2026-13425

Nome do Software Vulnerável e Versões Afetadas Database for CF7 versões anteriores a 1.2.7

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso ocorre porque o software aceita entradas estruturadas em array para campos de texto comuns através do endpoint da REST API pública '/wp-json/contact-form-7/v1/contact-forms/{id}/feedback'. O plugin armazena esses dados enviados usando $wpdb INSERT com serialize() em uma tabela personalizada wp cf7db, ignorando as funções de filtragem de salvamento padrão do WordPress, como wp insert post() e wp kses(). Consequentemente, scripts web arbitrários podem ser injetados em páginas e executados sempre que um usuário as acessar.

Recomendações Atualize para uma versão posterior à 1.2.6.