PT-2025-42703 · Unknown+1 · Contact Form 7+1

Publicado 2025-10-18 · Atualizado 2025-10-18 · CVE-2025-9562

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Redirection for Contact Form 7 para WordPress nas versões até e incluindo a 3.2.6

Descrição O software contém uma falha que permite a injeção de scripts web maliciosos em páginas. Isso se deve ao tratamento inadequado de informações fornecidas pelo usuário, especificamente dentro do shortcode qs date. Um atacante autenticado com acesso de nível de contribuidor ou superior pode explorar essa falha para injetar scripts que serão executados quando um usuário visualizar a página afetada. O problema origina-se da sanitização de entrada e do escape de saída insuficientes dos atributos fornecidos pelo usuário.

Recomendações Atualize o plugin Redirection for Contact Form 7 para uma versão superior à 3.2.6.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-9562

Produtos afetados

Contact Form 7

Redirection For Contact Form 7

Referências · 7

• https://wordpress.org/plugins/wpcf7-redirect · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3378810%40wpcf7-redirect&new=3378810%40wpcf7-redirect&sfp_email=&sfph_mail= · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/5a801bb0-a7fc-42c3-b26f-3f7cdb592bea?source=cve · Nota
• https://t.me/CVEtracker/35272 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wpcf7-redirect/tags/3.2.5/wpcf7r-functions.php#L558 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-9562 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1979450842622136487 · Publicação no Twitter