Contact Form 7 バージョン 6.2.5 が公開されました。これはセキュリティ修正と強化を含んだマイナーアップデートリリースです。リスクレベルの高いものではありませんがセキュリティに関するものには違いありませんので、すべてのユーザーに迅速な更新を勧告します。
修正されるセキュリティ問題
6.2.5 は2件の問題を修正します:
- 非公開の投稿データが
[_post_*]メールタグを通して漏洩する。報告者: Doston Abdullayev - ユーザーのメタデータが
default:user_*オプション付きのフォームタグを通して漏洩する。報告者: Epihack Bénin
両問題は WPScan 経由で報告されました。
主な変更
- SWV-PHP:
WPCF7_SWV_Schema::add_rule()を非推奨としてマーク。 - フロントエンド JS: 正規表現パターンに
g(グローバル) フラグを付けて修正。 - 特別なメールタグ: コンテナ投稿が表示可能であることをチェックする。
default:user_*フォームタグオプションの使用をセーフリストで制限。- Stripe: 不正なペイメントインテント参照に対するスパム対策を強化。
変更の完全な一覧は GitHub で閲覧できます。
必要バージョン: WordPress 7.1 以上
テスト済み: WordPress 7.1.4 まで