CVE-2026-13359

Nome do Software Vulnerável e Versões Afetadas Contact Form to DB by BestWebSoft – Messages Database Plugin For WordPress versões anteriores a 1.7.6

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Ao enviar um formulário de contato, um atacante pode injetar scripts web arbitrários através do parâmetro cntctfrm contact dropdown. Esses scripts são executados no contexto da sessão do navegador de um administrador quando este acessa a página do gerenciador de mensagens no endpoint '/wp-admin/admin.php?page=cntctfrmtdb manager', possibilitando o comprometimento de sessões de nível administrativo.

Recomendações Atualize o plugin para a versão 1.7.6 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/wp-admin/admin.php?page=cntctfrmtdb manager' ou evite o uso do parâmetro cntctfrm contact dropdown até que a atualização seja aplicada.