CVE-2026-103999
WysokieCVSS 7.2Streszczenie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa (wersje do 3.5.54 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez przesyłanie plików z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Obejście blokady rozszerzeń poprzez przesłanie plików tekstowych z zawartością HTML może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika.
Rekomendacja
Zaktualizować wtyczkę Ultra Addons for Contact Form 7 do wersji nowszej niż 3.5.54 lub ją wyłączyć; rozważyć zaostrzenie reguł przesyłania plików.
Inne podatności w Ultra Addons for Contact Form 7
Zobacz wszystkie- CVE-2026-82901Krytyczne
Wtyczka Ultra Addons for Contact Form 7 dla WordPress jest podatna na dowolne przesyłanie plików z powodu niewystarczającej walidacji typu pliku w funkcji 'uacf7_wpcf7_mail_components' we wszystkich wersjach do 3.5.50 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny, co może umożliwić zdalne wykonanie kodu. Uwaga: jest to możliwe do wykorzystania tylko wtedy, gdy moduł PDF Generator wtyczki jest włączony, co jest domyślnie wyłączone.
- CVE-2026-84750Średnie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.
- CVE-2026-12801Średnie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybuty 'data-label' i 'data-separator' w suwaku zakresu we wszystkich wersjach do 3.5.43 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na stronach.
Oryginalny opis (angielski, źródło NVD)
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via File Upload in all versions up to, and including, 3.5.54 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The extension blocklist gatekeeper is bypassed by uploading text-type files (.txt, .csv, .vtt, .srt, .asc) whose contents begin with an HTML payload such as '<BODY onload=…>', as the check classifies these files as text/plain without inspecting their byte content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS