CVE-2026-104010 Inyección de objetos PHP y ejecución remota de código en WPSyncSheets For Contact Form 7 hasta 1.8.0
Los valores de campos de envío de CF7 se almacenan sin saneamiento suficiente y se pasan a maybe_unserialize() sin restricción de allowed_classes al recuperarlos en el admin, lo que permite a atacantes no autenticados ejecutar código en el servidor. La cadena de explotación requiere un token de acceso de Google Sheets configurado, que activa la carga de Monolog 2.10.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,6 % · percentil 47
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
creativewerkdesigns WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database
hasta 1.8.0
Qué hacer
- Verificá si usás WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 1.8.0 via the 'any non-system CF7 field (e.g., your-message)' parameter parameter. This is due to insufficient sanitization of CF7 submission field values before database storage and the absence of an allowed_classes restriction on maybe_unserialize() during admin retrieval. This makes it possible for unauthenticated attackers to execute code on the server. Successful exploitation of the remote code execution gadget chain requires that a Google Sheets access token be configured in the plugin (its primary advertised feature), as this triggers autoloading of the bundled Monolog 2.10.0 library whose classes form the exploitable gadget chain; however, the underlying PHP Object Injection occurs regardless.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/366e20df-4cb2-4ba1-93fd-11552faa1a32?so…
- plugins.trac.wordpress.org/browser/contactsheets-lite/tags/1.8.0/includes/entry/class-wps…
- plugins.trac.wordpress.org/browser/contactsheets-lite/tags/1.8.0/includes/class-wpsslc-se…
- plugins.trac.wordpress.org/browser/contactsheets-lite/tags/1.8.0/includes/class-wpsslc-se…
- plugins.trac.wordpress.org/browser/contactsheets-lite/tags/1.8.0/includes/entry/class-wps…
- plugins.trac.wordpress.org/browser/contactsheets-lite/tags/1.8.0/includes/class-wpsslc-go…
- plugins.trac.wordpress.org/changeset/3783292/contactsheets-lite/trunk/includes/entry/clas…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.