PT-2026-36894 · WordPress · Conditional Fields For Contact Form 7

Rahul Karne + 1 · Publicado 2026-05-04 · Atualizado 2026-05-04 · CVE-2026-25863

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Conditional Fields for Contact Form 7 WordPress plugin versões anteriores a 2.6.8

Descrição Um problema de consumo descontrolado de recursos existe na classe Wpcf7cfMailParser. O método hide hidden mail fields regex callback() processa uma contagem de iteração a partir de parâmetros POST fornecidos pelo usuário sem validação ou imposição de limite superior. Atacantes não autenticados podem enviar um número inteiro arbitrariamente grande através de um endpoint da REST API para disparar um loop ilimitado com múltiplas operações preg replace(), resultando no esgotamento da memória do servidor e na interrupção do processo PHP.

Recomendações Atualize o plugin para a versão 2.6.8 ou posterior.

Correção

Enumeração de Fraquezas

CWE-1284

Identificadores relacionados

CVE-2026-25863

Produtos afetados

Conditional Fields For Contact Form 7

Referências · 6

• https://vulncheck.com/advisories/conditional-fields-for-contact-form-7-dos-via-uncontrolled-resource-consumption · Nota
• https://t.me/cveNotify/162070 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2051383973532549507 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2051385355601850636 · Publicação no Twitter
• https://wordpress.org/plugins/cf7-conditional-fields/#developers · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-25863 · Nota de Segurança