Qué es y cómo funciona
El plugin Contact Form 7 para WordPress, en versiones anteriores a la 6.2.5, no restringe adecuadamente de qué propiedades de usuario pueden poblarse los valores predeterminados de los campos de formulario. Esto permite que usuarios con rol de Editor o superior creen formularios que, cuando son visualizados y enviados por usuarios con mayores privilegios (como administradores), obtengan información sensible como el hash de su contraseña y otros metadatos confidenciales, incluidos secretos de autenticación en dos factores.
Productos y versiones afectadas
Plugin: Contact Form 7 para WordPress
Versiones afectadas: Todas las versiones anteriores a la 6.2.5
Impacto y probabilidad de explotación
El INCIBE-CERT de España clasifica la severidad de este CVE como P (Probable). Sin embargo, según datos de Shodan, actualmente no hay hosts indexados detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet en este momento.
Qué hacer
Los administradores de sitios WordPress que utilicen el plugin Contact Form 7 deben actualizar inmediatamente a la versión 6.2.5 o superior para mitigar esta vulnerabilidad.
| CVE | CVE-2026-120407 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).