PT-2026-33468 · WordPress · Drag/Drop Multiple File Upload
Leonid Semenenko
+1
·
Publicado
2026-04-17
·
Atualizado
2026-05-27
·
CVE-2026-5718
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
Drag and Drop Multiple File Upload for Contact Form 7 versões anteriores a 1.3.9.7
Description
Ocorre uma validação insuficiente do tipo de arquivo quando tipos de lista negra personalizados são configurados, pois o sistema substitui a lista de permissões de extensões perigosas padrão em vez de mesclá-la. Além disso, a função
wpcf7 antiscript file name() pode ser ignorada usando nomes de arquivos que contenham caracteres não-ASCII. Isso permite que invasores não autenticados façam o upload de arquivos arbitrários, como arquivos PHP, para o servidor, podendo levar à execução remota de código.Recommendations
Atualize para uma versão posterior a 1.3.9.6.
Correção
RCE
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Drag/Drop Multiple File Upload