Redirection for Contact Form 7: Fehlende Eigentümerprüfung im Datenanfrageformular
Zusammenfassung
Das WordPress-Plugin Redirection for Contact Form 7 prüft nicht, ob die über sein Datenanfrageformular übermittelte E-Mail-Adresse dem Anfragenden gehört. Standardmässig wird die resultierende Anfrage als bereits bestätigt gespeichert. Ein nicht angemeldeter Besucher kann so verifizierte Löschungs- oder Exportanfragen für Adressen erstellen, die ihm nicht gehören, was die Datenverarbeitung stören oder zu Verwirrung und Beschwerden führen kann. Eine Anmeldung ist nicht nötig, das öffentliche Formular muss jedoch erreichbar sein.
Betroffen
- Redirection for Contact Form 7 (wpcf7-redirect) 2.6.0 bis vor 3.2.16
Behoben in
- Behoben in 3.2.16
Umgehung
- Vom CNA ist kein Workaround dokumentiert.
- Drittanbieter-Empfehlung (VulDB): Das Datenanfrageformular deaktivieren, bis das Update eingespielt ist, sofern es für die Compliance nicht benötigt wird.
Ausnutzung
- Nicht in CISA KEV aufgeführt.
- Stand 10. November 2026 ist kein öffentlicher Exploit-Code und kein nuclei-Template bekannt.
- Keine Ausnutzung in freier Wildbahn gemeldet. Ein fehlender Eintrag beweist keine Sicherheit.
Unsere Empfehlung
- Plugin auf Version 3.2.16 oder neuer aktualisieren.
- Falls das Datenanfrageformular für die Compliance nicht benötigt wird, es bis zur Aktualisierung deaktivieren.
- Ausstehende und kürzlich eingegangene Lösch- und Exportanfragen auf unerwartete Einträge prüfen.
- Anfragen mit nicht verifizierten E-Mail-Adressen vor einer Bearbeitung zurückhalten.
- Plugin aktuell halten, da es bereits mehrere weitere nicht authentifizierte Schwachstellen gab.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- CVE Record CVE-2026-121873 www.cve.org
- VulDB CVE-2026-121873 vuldb.com
- VulDB 435661 vuldb.com
- OffSeq threat radar CVE-2026-121873 radar.offseq.com
- OpenCVE CVE-2026-121873 app.opencve.io
- Wordfence/WPScan plugin page wpcf7-redirect wpscan.com
- Search Engine Journal: Redirection plugin vulnerability www.searchenginejournal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.