CVE-2026-120407: falha de média gravidade em Contact Form 7
Contact Form 7 < 6.2.5 - Editor+ Sensitive User Data Disclosure via Form Default Values
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
10Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 4.5
The Contact Form 7 WordPress plugin before 6.2.5 does not restrict which user properties a form field's default value can be populated from, allowing users with the Editor role and above to obtain the password hash and sensitive user meta (such as two-factor secrets) of higher-privileged users, including administrators, who view and submit the form.
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N
Produtos afetados
Unknown · Contact Form 7CVEs relacionadas — Contact Form 7
No mesmo produto, das mais perigosas para as menos.