CVE-2026-82901
KrytyczneCVSS 9.8Streszczenie
Wtyczka Ultra Addons for Contact Form 7 dla WordPress jest podatna na dowolne przesyłanie plików z powodu niewystarczającej walidacji typu pliku w funkcji 'uacf7_wpcf7_mail_components' we wszystkich wersjach do 3.5.50 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny, co może umożliwić zdalne wykonanie kodu. Uwaga: jest to możliwe do wykorzystania tylko wtedy, gdy moduł PDF Generator wtyczki jest włączony, co jest domyślnie wyłączone.
Ocena ryzyka
Podatność może pozwolić nieuwierzytelnionym atakującym na przesłanie złośliwych plików i zdalne wykonanie kodu, jeśli moduł PDF Generator jest włączony, co prowadzi do przejęcia witryny WordPress.
Rekomendacja
Należy zaktualizować wtyczkę Ultra Addons for Contact Form 7 do wersji nowszej niż 3.5.50. Jeśli moduł PDF Generator nie jest potrzebny, należy go wyłączyć, aby ograniczyć ryzyko.
Inne podatności w Ultra Addons for Contact Form 7
Zobacz wszystkie- CVE-2026-84750Średnie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.
- CVE-2026-12801Średnie
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybuty 'data-label' i 'data-separator' w suwaku zakresu we wszystkich wersjach do 3.5.43 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na stronach.
Oryginalny opis (angielski, źródło NVD)
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to Arbitrary File Upload due to insufficient file type validation in the 'uacf7_wpcf7_mail_components' function in all versions up to, and including, 3.5.50. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible. Note: This is only exploitable when the plugin's PDF Generator module is enabled, which is disabled by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS