CVE-2026-102435
KrytyczneCVSS 9.8Streszczenie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji _getObjAttr we wszystkich wersjach do 3.5.54 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Wymaga to aktywnego dodatku PDF Generator i skonfigurowanego formularza Contact Form 7 do generowania PDF.
Ocena ryzyka
Możliwość usunięcia krytycznych plików, takich jak wp-config.php, może doprowadzić do przejęcia całej instalacji WordPressa i wykonania dowolnego kodu przez atakującego.
Rekomendacja
Zaktualizuj wtyczkę Ultra Addons for Contact Form 7 do wersji nowszej niż 3.5.54. Jeśli aktualizacja nie jest możliwa, wyłącz funkcję PDF Generator lub całą wtyczkę do czasu wdrożenia poprawki.
Inne podatności w Ultra Addons for Contact Form 7
Zobacz wszystkie- CVE-2026-82901Krytyczne
Wtyczka Ultra Addons for Contact Form 7 dla WordPress jest podatna na dowolne przesyłanie plików z powodu niewystarczającej walidacji typu pliku w funkcji 'uacf7_wpcf7_mail_components' we wszystkich wersjach do 3.5.50 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny, co może umożliwić zdalne wykonanie kodu. Uwaga: jest to możliwe do wykorzystania tylko wtedy, gdy moduł PDF Generator wtyczki jest włączony, co jest domyślnie wyłączone.
- CVE-2026-103999Wysokie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa (wersje do 3.5.54 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez przesyłanie plików z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-84750Średnie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.
- CVE-2026-12801Średnie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybuty 'data-label' i 'data-separator' w suwaku zakresu we wszystkich wersjach do 3.5.43 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na stronach.
Oryginalny opis (angielski, źródło NVD)
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the _getObjAttr function in all versions up to, and including, 3.5.54. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This requires the PDF Generator add-on to be active and a Contact Form 7 form to be configured for PDF generation, as the WPCF7_Submission POP gadget chain relies on CF7 being present to complete the file deletion via __destruct(). Note: This vulnerability can only be exploited when the PDF generator feature is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS