CVE-2026-102435 in Ultra Addons for Contact Form 7 Plugin
الملخص
بحسب VulDB • 02/11/2026
يحتوي ملحق Ultra Addons لـ Contact Form 7 لمنصة ووردبريس على ثغرة تسمح بحذف الملفات بشكل تعسفي بسبب عدم كفاية التحقق من مسار الملف في الدالة `_getObjAttr`، وذلك في جميع الإصدارات حتى 3.5.54 وشاملةً لها. وهذا يمكّن المهاجمين غير المصادق عليهم (unauthenticated) من حذف ملفات عشوائية على الخادم، مما قد يؤدي بسهولة إلى تنفيذ كود عن بُعد (RCE) عند حذف الملف الصحيح (مثل `wp-config.php`). يتطلب هذا أن يكون ملحق PDF Generator نشطًا وأن تكون هناك نموذج Contact Form 7 مُعدّ لتوليد ملفات PDF، حيث تعتمد سلسلة الهجمات POP الخاصة بـ `WPCF7_Submission` على وجود CF7 لإكمال عملية الحذف عبر الدالة `__destruct()`. ملاحظة: يمكن استغلال هذه الثغرة فقط عند تفعيل ميزة مولّد ملفات PDF.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.