CVE-2026-120659
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka Redirection for Contact Form 7 dla WordPressa (wersje do 3.2.14) ma podatność na obejście autoryzacji, ponieważ nie weryfikuje uprawnień użytkownika do wykonania akcji. Nieuwierzytelniony atakujący może zapisywać dowolne wartości meta w nowo utworzonych postach leadów oraz kopiować pliki serwerowe o dozwolonych rozszerzeniach MIME do katalogu uploads wtyczki.
Ocena ryzyka
Możliwe nieautoryzowane zapisywanie danych i kopiowanie plików, co może prowadzić do ujawnienia informacji lub dalszej eksploatacji.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.2.14 lub wyłącz akcję Save Entry (Save Lead) do czasu aktualizacji.
Inne podatności w Redirection for Contact Form 7 WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Redirection for Contact Form 7 plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.2.14 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to write arbitrary post meta values to newly created lead posts and copy arbitrary server-side files with allowed MIME-type extensions into the plugin's uploads directory. Exploitation requires a published Contact Form 7 form configured with the Save Entry (Save Lead) action enabled on the target site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS