PT-2025-44222 · WordPress · Contact Form Cfdb7

Publicado 2025-10-28 · Atualizado 2025-10-29 · CVE-2025-4665

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Contact Form CFDB7 até e incluindo a 1.3.2

Descrição O plugin Contact Form CFDB7 para WordPress é afetado por uma injeção de SQL pré-autenticação que pode levar à desserialização insegura (Injeção de Objeto PHP). A validação insuficiente da entrada do usuário nos endpoints do plugin permite que entrada manipulada influencie consultas do backend, potencialmente escalonando para desserialização insegura e permitindo injeção arbitrária de objetos em PHP. Este problema é explorável remotamente sem autenticação, requerendo uma interação manipulada com o endpoint afetado para explorar a vulnerabilidade.

Recomendações Atualize o Contact Form CFDB7 para uma versão superior à 1.3.2.

Correção

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-4665

Produtos afetados

Contact Form Cfdb7

Referências · 10

• https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2025/MNDT-2025-0006.md · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-4665 · Nota de Segurança
• https://twitter.com/ZeroPathLabs/status/1983329189538271699 · Publicação no Twitter
• https://twitter.com/CveTodo/status/1983330002524401750 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/1983325276776849618 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1983325281273119041 · Publicação no Twitter
• https://t.me/cveNotify/140769 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1983340440679076017 · Publicação no Twitter
• https://t.me/CVEtracker/36011 · Publicação no Telegram
• https://wordpress.org/plugins/contact-form-cfdb7 · Nota