CVE-2026-120407: fallo de gravedad media en Contact Form 7
Contact Form 7 < 6.2.5 - Editor+ Sensitive User Data Disclosure via Form Default Values
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
10Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 4.5
The Contact Form 7 WordPress plugin before 6.2.5 does not restrict which user properties a form field's default value can be populated from, allowing users with the Editor role and above to obtain the password hash and sensitive user meta (such as two-factor secrets) of higher-privileged users, including administrators, who view and submit the form.
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N
Productos afectados
Unknown · Contact Form 7CVEs relacionadas — Contact Form 7
En el mismo producto, de las más peligrosas a las menos.